Publication du serveur HTTP Apache 2.4.41 avec correction de vulnérabilités

Publié Publication du serveur HTTP Apache 2.4.41 (la version 2.4.40 a été omise), qui présente 23 modifications et corrige 6 vulnérabilités:

• CVE-2019-10081 — problème dans mod_http2, qui peut entraîner une corruption de mémoire lors de l'envoi de requêtes de push très tôt. En utilisant l'option « H2PushResource », il est possible de réécrire une zone de mémoire dans le pool de traitement des requêtes, mais le problème est limité à un crash, car les données écrites ne sont pas basées sur des informations reçues du client ;
• CVE-2019-9517 — vulnérabilité récemment annoncé de type DoS dans les implémentations HTTP/2.
  Un attaquant peut épuiser la mémoire disponible pour le processus et causer une forte charge CPU en ouvrant une fenêtre HTTP/2 pour envoyer des données depuis le serveur sans restrictions, tout en maintenant la fenêtre TCP fermée, ce qui empêche en fait l'écriture des données dans le socket ;
• CVE-2019-10098 — problème dans mod_rewrite, permettant d'utiliser le serveur pour rediriger des requêtes vers d'autres ressources (redirection ouverte). Certains réglages de mod_rewrite peuvent amener à rediriger l'utilisateur vers un autre lien encodé avec un caractère de saut de ligne à l'intérieur du paramètre utilisé dans une redirection existante. Pour bloquer le problème, le drapeau PCRE_DOTALL peut être utilisé dans RegexDefaultOptions, qui est désormais activé par défaut ;
• CVE-2019-10092 — possibilité de réaliser du script intersite sur les pages d'erreur générées par mod_proxy. Sur ces pages, l'URL obtenue de la requête est insérée dans le lien, où l'attaquant, par l'échappement de caractères, peut insérer du HTML arbitraire ;
• CVE-2019-10097 — débordement de pile et déréférencement de pointeur NULL dans mod_remoteip, exploité par des manipulations de l'en-tête PROXY. L'attaque ne peut être réalisée que depuis le proxy configuré, et non via la requête du client ;
• CVE-2019-10082 — vulnérabilité dans mod_http2, permettant, au moment de la fermeture de la connexion, d'initier la lecture de contenu à partir d'une zone de mémoire déjà libérée (read-after-free).

Les modifications les plus remarquables, non liées à la sécurité :

• Dans mod_proxy_balancer, la protection contre les attaques XSS/XSRF provenant des nœuds de confiance a été renforcée ;
• Dans mod_session, une option SessionExpiryUpdateInterval a été ajoutée pour définir l'intervalle de mise à jour du temps d'expiration de la session/cookie ;
• Une purification des pages d'erreur a été réalisée pour éviter l'affichage sur ces pages d'informations provenant des requêtes ;
• Dans mod_http2, la prise en compte de la valeur du paramètre «LimitRequestFieldSize» a été assurée, qui auparavant ne s'appliquait qu'à la vérification des champs des en-têtes HTTP/1.1;
• La création de la configuration mod_proxy_hcheck a été assurée lors de son utilisation dans BalancerMember;
• La consommation de mémoire dans mod_dav a été réduite lors de l'utilisation de la commande PROPFIND sur un grand ensemble;
• Dans mod_proxy et mod_ssl, des problèmes concernant la spécification des paramètres des certificats et SSL à l'intérieur du bloc Proxy ont été résolus;
• Dans mod_proxy, l'application des paramètres SSLProxyCheckPeer* pour tous les modules proxy a été autorisée;
• Les fonctionnalités du module mod_md, développée projet de Let’s Encrypt pour l'automatisation de l'obtention et de la gestion des certificats en utilisant le protocole ACME (Automatic Certificate Management Environment):
  • Une deuxième version du protocole ACMEv2, qui est maintenant utilisée par défaut et utilise les requêtes POST vides au lieu de GET.
  • Le support de la vérification basée sur l'extension TLS-ALPN-01 (RFC 7301, Application-Layer Protocol Negotiation), qui est utilisée dans HTTP/2, a été ajouté.
  • Le support de la méthode de vérification ‘tls-sni-01’ a été supprimé (en raison de une vulnérabilité).
  • Des commandes pour configurer et interrompre la vérification par la méthode ‘dns-01’ ont été ajoutées.
  • Ajout du support de masques dans les certificats lors de l'activation de la vérification basée sur DNS (‘dns-01’).
  • Un gestionnaire ‘md-status’ et une page avec l'état du certificat «https://domain/.httpd/certificate-status» ont été mis en œuvre.
  • Les directives «MDCertificateFile» et «MDCertificateKeyFile» ont été ajoutées pour configurer les paramètres des domaines via des fichiers statiques (sans prise en charge de la mise à jour automatique).
  • La directive «MDMessageCmd» a été ajoutée pour appeler des commandes externes lors des événements ‘renewed’, ‘expiring’ ou ‘errored’.
  • La directive «MDWarnWindow» a été ajoutée pour configurer le message d'avertissement concernant l'expiration du certificat;

Source : opennet.ru