Apache http-serveri 2.4.46 väljaanne, kus on kõrvaldatud haavatavused

Avaldatud Apache HTTP serveri 2.4.46 väljaanne (väljaanded 2.4.44 ja 2.4.45 jäeti vahele), mis sisaldab 17 muudatust ja kõrvaldatud 3 turvaauku:

• CVE-2020-11984 — puhverserveri mod_proxy_uwsgi ülekoormus, mis võib viia teabe lekkimise või koodi täitmiseni serveris, kui saata erikujundatud päring. Turvaaugu kasutamine toimub väga pika HTTP-pealkirja edastamise kaudu. Kaitseks on lisatud pealkirjade blokeerimine, mis ületab 16K (piirang, mis on määratletud protokolli spetsifikatsioonis).
• CVE-2020-11993 — turvaauku mod_http2 moodulis, mis võimaldab protsessi kokkuvarisemist, kui saata päring spetsiaalselt kujundatud HTTP/2 pealkirjaga. Probleem ilmneb, kui mod_http2 moodulis on lubatud silumine või jälgimine ning väljendub mälusisalduse kahjustamises, mis tuleneb võidujooksust logi teabe salvestamisel. Probleem ei ilmne, kui LogLevel on seatud väärtusele "info".
• CVE-2020-9490 — turvaauku mod_http2 moodulis, mis võimaldab protsessi kokkuvarisemist, kui saata HTTP/2 kaudu päring spetsiaalselt kujundatud 'Cache-Digest' pealkirjaga (kokkuvarisemine toimub HTTP/2 PUSH operatsiooni proovimise ajal ressursile). Turvaaugu blokeerimiseks saab kasutada seadistust "H2Push off".
• CVE-2020-11985 — turvaauku mod_remoteip, mis võimaldab IP-aadresside valeidentifitseerimist, kui kasutada mod_remoteip ja mod_rewrite. Probleem ilmneb ainult väljaannetes alates 2.4.1 kuni 2.4.23.

Kõige märgatavamad mitteohutusega seotud muudatused:

• mod_http2-st on kustutatud toetus eelprotokolli spetsifikatsioonile kazuho-h2-cache-digest, mille edendamine on lõpetatud.
• Direktiivi "LimitRequestFields" käitumine mod_http2-s on muutunud, 0 väärtuse määramine keelab nüüd piirangu.
• mod_http2-s on tagatud põhikohtade ja kõrvalkohtade (master/secondary) ühenduste töötlemine ning meetodite märgistus sõltuvalt kasutamisest.
• Kui saadi vale 'Last-Modified' pealkiri FCGI/CGI skriptist, eemaldatakse see pealkiri nüüd, mitte ei asendata ajaloos (Unix epoch).
• Koodile on lisatud funktsioon ap_parse_strict_length() sisendi täpsete pikkuste analüüsimiseks.
• mod_proxy_fcgi-s ProxyFCGISetEnvIf-s on tagatud keskkonnamuutujate eemaldamine, kui antud väljend tagastab vale.
• Mod_ssl-i võimaliku kokkuvarisemise ja võidujooksu oleku põhjuste kõrvaldamine, kui kasutatakse kliendi sertifikaati, mis on määratud SSLProxyMachineCertificateFile seadistusega.
• Mod_ssl-is on kõrvaldatud mälu leke.
• Mod_proxy_http2 võimaldab kasutada parameetrit proxy „ping“ uue või uuesti kasutatava ühenduse sissetuleva testimise käigus backendiga.
• Httpd sidumise lõpetamine valikuga „-lsystemd”, kui mod_systemd on aktiivne.
• Mod_proxy_http2 arvestab ProxyTimeout seadet sissetulevate andmete ootamise ajal ühendustes backendiga.

Allikas: opennet.ru