Apache http-serveri versiooni 2.4.58 uus väljaanne, mis kõrvaldab HTTP/2 DoS-haavatavused

Ilma on välja antud HTTP-serveri Apache versioon 2.4.58, mis sisaldab 33 muudatust ja kolm haavatavust, millest kaks on seotud DoS-rünnaku võimalusega süsteemides, mis kasutavad HTTP/2 protokolli.

• CVE-2023-45802 — tingimuste loomine mälukaartide ammendamiseks, mis tuleneb mäluhalduse viivitusest pärast HTTP/2 voogu sisaldava RST-paketiga ühenduse sulgemist. Kuna mälu vabastatakse mitte kohe pärast RST-pleki töötlemist, vaid alles pärast ühenduse sulgemist, võib ründaja oluliselt suurendada mälutarbimist, saates uusi päringuid ja sulgedes need RST-paketiga, kuid mitte sulgedes ühendust.
• CVE-2023-43622 — lõputu HTTP/2 ühenduse töötlemise blokeerimine, kui see on avatud, määrates liuguri akna algset suurust 0. Haavatavust saab kasutada teenuse kätte saamise korraldamiseks, piirates lubatud avatud ühenduste arvu.
• CVE-2023-31122 — haavatavus mod_macro'is, mis toob kaasa andmete lugemise eraldatud puhvri alalt.

Turvalisusega mitte seotud muudatuste hulgas:

• mod_http2-sse on lisatud toetust WebSocket-protokolli kasutamiseks HTTP/2 voos (RFC 8441). WebSocketi lubamiseks HTTP/2-s on soovitatud käsk ‘H2WebSockets on|off’.
• mod_http2-sse on lisatud käsk ‘H2EarlyHint name value’ pealkirjade lisamiseks vastusele «103 Early Hints».
• mod_http2-sse on lisatud käsk ‘H2ProxyRequests on|off’ HTTP/2 päringute töötlemise aktiveerimise juhtimiseks vahekäigus.
• mod_http2-sse on lisatud käsk ‘H2MaxDataFrameLen n’ vastuse maksimaalse suuruse piiramiseks baitides, mis edastatakse ühes DATA-raamis HTTP/2-s. Vaikeväärtus on 16KB.
• Mime.types faili on värskendatud, kus laiend ‘.js’ on seostatud tüübi ‘text/javascript’ asemel ‘application/javascript’ ja on lisatud laiend ‘.mjs’ (tüübiga ‘text/javascript’) ja ‘.opus’ (‘audio/ogg’). Lisatud on MIME-tüübid ja laiendid, mis on seotud WebAssemblyga.
• mod_tls moodul (mod_ssl'i alternatiiv Rust keeles) on uuele versioonile rustls-ffi 0.9.2+ üle viidud.
• mod_md moodulisse on lisatud käsk ‘MDMatchNames all|servernames’ MDomains'i ja VirtualHosts'i sisu vastavuse haldamiseks.
• mod_md moodulisse on lisatud käsk ‘MDChallengeDns01Version’ ACME protokolli versiooni valimiseks, mida kasutatakse DNS-i kaudu kinnitamisel.
• mod_md-s on lubatud kasutada MDChallengeDns01 direktiivi eraldi domeenide.
• mod_dav-s on lisatud ‘DavBasePath’ direktiiv, et määrata WebDav-i hoidla juurtee.
• mod_alias-s on lisatud ‘AliasPreservePath’ direktiiv, et kasutada Alias väärtuse täisteed Location plokis.
• mod_alias-s on lisatud ‘RedirectRelative’ direktiiv, mis võimaldab ümbersuunamist suhteliste teedega.
• ErrorLogFormat direktiivile on lisatud formateerimise spetsifikaatorid %{z} ja %{strftime-format}.
• mod_deflate-s on lisatud ‘DeflateAlterETag’ direktiiv, et hallata ETag-i muutumist tihendamise kasutamisel.
• Tingimuseta funktsiooni send_brigade_nonblocking() jõudluse optimeerimine.
• mod_status-s on tagatud võtmete ‘BusyWorkers’ ja ‘IdleWorkers’ dubleeringute eemaldamine ning lisatud uus loendur ‘GracefulWorkers’.

Allikas: opennet.ru