Publication du serveur http Apache 2.4.58 avec élimination des vulnérabilités DoS dans HTTP/2

La version 2.4.58 du serveur HTTP Apache a été publiée, incluant 33 modifications et corrigeant trois vulnérabilités, dont deux sont liées à la possibilité d'une attaque par déni de service sur les systèmes utilisant le protocole HTTP/2.

• CVE-2023-45802 — conditions propices à l'épuisement de la mémoire libre en raison de la libération différée de mémoire après la réinitialisation d'un flux HTTP/2 par un paquet avec le drapeau RST. Comme la mémoire n'est pas libérée immédiatement après le traitement du drapeau RST, mais seulement après la fermeture de la connexion, un attaquant peut considérablement augmenter la consommation de mémoire en envoyant de nouvelles requêtes et en les réinitialisant avec un paquet RST sans fermer la connexion.
• CVE-2023-43622 — blocage infini du traitement des connexions HTTP/2, si celles-ci ont été ouvertes avec une taille initiale de fenêtre glissante fixée à 0. Cette vulnérabilité peut être exploitée pour provoquer un déni de service par épuisement de la limite du nombre maximal de connexions ouvertes.
• CVE-2023-31122 — une vulnérabilité dans mod_macro qui permet la lecture de données en dehors de la mémoire tampon allouée.

Parmi les changements non liés à la sécurité :

• Dans mod_http2, un support a été ajouté pour l'utilisation du protocole WebSocket au-dessus du flux dans la connexion HTTP/2 (RFC 8441). Pour activer WebSocket au-dessus de HTTP/2, la directive ‘H2WebSockets on|off’ a été proposée.
• Dans mod_http2, la directive ‘H2EarlyHint name value’ a été ajoutée pour ajouter des en-têtes à la réponse ‘103 Early Hints’.
• Dans mod_http2, la directive ‘H2ProxyRequests on|off’ a été ajoutée pour contrôler l'activation du traitement des requêtes par le protocole HTTP/2 dans la configuration du proxy.
• Dans mod_http2, la directive ‘H2MaxDataFrameLen n’ a été ajoutée pour limiter la taille maximale du corps de la réponse en octets, transmise dans un seul cadre DATA dans HTTP/2. Par défaut, la limite est fixée à 16 Ko.
• Le fichier mime.types a été mis à jour, assignant l'extension ‘.js’ au type ‘text/javascript’ au lieu de ‘application/javascript’, et ajoutant les extensions : ‘.mjs’ (avec le type ‘text/javascript’) et ‘.opus’ (‘audio/ogg’). Des types MIME et extensions utilisés dans WebAssembly ont été ajoutés.
• Le module mod_tls (alternative à mod_ssl en Rust) a été migre pour utiliser la bibliothèque rustls-ffi 0.9.2+.
• Dans le module mod_md, la directive ‘MDMatchNames all|servernames’ a été ajoutée pour gérer le mappage des MDomains avec le contenu des VirtualHosts.
• Dans le module mod_md, la directive ‘MDChallengeDns01Version’ a été ajoutée pour choisir la version du protocole ACME utilisée pour la vérification via DNS.
• Dans mod_md, l'utilisation de la directive MDChallengeDns01 pour des directives individuelles a été autorisée. domaines.
• Dans mod_dav, une directive 'DavBasePath' a été ajoutée pour configurer le chemin racine du dépôt WebDav.
• Dans mod_alias, une directive 'AliasPreservePath' a été ajoutée pour utiliser la valeur Alias comme chemin complet dans le bloc Location.
• Dans mod_alias, une directive 'RedirectRelative' a été ajoutée, permettant la redirection utilisant des chemins relatifs.
• La directive ErrorLogFormat a été dotée de spécificateurs de format %{z} et %{strftime-format}.
• Dans mod_deflate, une directive 'DeflateAlterETag' a été ajoutée pour gérer la modification de l'ETag lors de l'utilisation de la compression.
• L'optimisation des performances de la fonction send_brigade_nonblocking() a été réalisée.
• Dans mod_status, les doublons des clés 'BusyWorkers' et 'IdleWorkers' ont été supprimés, et un nouveau compteur 'GracefulWorkers' a été ajouté.

Source : opennet.ru