Sortie du serveur http Apache 2.4.46 avec corrections de vulnérabilités.

Publié Sortie du serveur HTTP Apache 2.4.46 (les versions 2.4.44 et 2.4.45 ont été omises), qui contient 17 modifications et corrige 3 vulnérabilités:

• CVE-2020-11984 — débordement de tampon dans le module mod_proxy_uwsgi, pouvant entraîner des fuites d'informations ou l'exécution de code sur le serveur lors de l'envoi d'une requête spécialement formatée. L'exploitation de cette vulnérabilité se fait par le biais d'un en-tête HTTP très long. Pour sécuriser, un blocage des en-têtes de plus de 16K a été ajouté (limite définie dans la spécification du protocole).
• CVE-2020-11993 — vulnérabilité dans le module mod_http2, permettant de provoquer un crash du processus lors de l'envoi d'une requête avec un en-tête HTTP/2 spécialement formaté. Le problème se manifeste lors de l'activation du débogage ou du traçage dans le module mod_http2 et se traduit par une corruption de la mémoire due à une condition de concurrence lors de la conservation des informations dans le journal. Le problème ne se manifeste pas en définissant LogLevel à «info».
• CVE-2020-9490 — vulnérabilité dans le module mod_http2, permettant de provoquer un crash du processus lors de l'envoi d'une requête avec une valeur d'en-tête ‘Cache-Digest’ spécialement formatée via HTTP/2 (le crash se produit lors de la tentative d'effectuer une opération HTTP/2 PUSH pour la ressource). Pour bloquer cette vulnérabilité, vous pouvez utiliser la configuration «H2Push off».
• CVE-2020-11985 — vulnérabilité de mod_remoteip, permettant de falsifier des adresses IP lors du proxy, en utilisant mod_remoteip et mod_rewrite. Le problème ne se manifeste que pour les versions de 2.4.1 à 2.4.23.

Les modifications les plus remarquables, non liées à la sécurité :

• Le support de la spécification brouillonne a été supprimé de mod_http2 kazuho-h2-cache-digest, dont la promotion a été suspendue.
• Le comportement de la directive «LimitRequestFields» a été modifié dans mod_http2, spécifier la valeur 0 désactive désormais la limitation.
• Dans mod_http2, la gestion des connexions principales et secondaires (master/secondary) a été assurée et les méthodes marquées selon leur utilisation.
• En cas de réception d'un en-tête Last-Modified incorrect du script FCGI/CGI, cet en-tête est maintenant supprimé et non remplacé par le temps épique (époque Unix).
• Une fonction ap_parse_strict_length() a été ajoutée au code pour un parsing strict de la taille du contenu.
• Dans mod_proxy_fcgi, dans ProxyFCGISetEnvIf, la suppression des variables d'environnement a été assurée lorsque l'expression donnée retourne False.
• L'état de concurrence et le crash possible de mod_ssl lors de l'utilisation d'un certificat client défini par la configuration SSLProxyMachineCertificateFile ont été corrigés.
• Une fuite de mémoire a été résolue dans mod_ssl.
• Dans mod_proxy_http2, il est désormais possible d'utiliser le paramètre proxy «ping» pour vérifier la fonctionnalité d'une nouvelle connexion ou d'une connexion réutilisée avec le backend.
• La liaison de httpd avec l'option «-lsystemd» a été interrompue si mod_systemd est activé.
• Dans mod_proxy_http2, la configuration de ProxyTimeout est maintenant prise en compte lors de l'attente des données entrantes via des connexions avec le backend.

Source : opennet.ru