Sortie du serveur HTTP Apache 2.4.52 corrigeant un dépassement de tampon dans mod_lua

La version 2.4.52 du serveur HTTP Apache a été publiée, avec 25 modifications et la correction de 2 vulnérabilités :

• CVE-2021-44790 — débordement de tampon dans mod_lua, se manifestant lors de l'analyse de requêtes multipart. La vulnérabilité concerne les configurations où les scripts Lua appellent la fonction r:parsebody() pour analyser le corps de la requête, permettant à un attaquant de provoquer un débordement de tampon en envoyant une requête spécialement conçue. Aucune preuve d'exploitation n'a encore été détectée, mais cela pourrait potentiellement mener à l'exécution de code à distance sur le serveur.
• CVE-2021-44224 — vulnérabilité SSRF (Server Side Request Forgery) dans mod_proxy, permettant, dans des configurations avec l'option « ProxyRequests on », de rediriger une requête vers un autre gestionnaire sur le même serveur acceptant des connexions via un Unix Domain Socket par le biais d'une requête URI spécialement formulée. Le problème peut également être utilisé pour provoquer un crash en créant des conditions de déréférencement d'un pointeur nul. Le problème concerne les versions d'Apache httpd à partir de la version 2.4.7.

Les modifications les plus remarquables, non liées à la sécurité :

• Le mod_ssl a ajouté la prise en charge de la compilation avec la bibliothèque OpenSSL 3.
• Amélioration de la détection de la bibliothèque OpenSSL dans les scripts autoconf.
• Dans mod_proxy pour les protocoles de tunneling, il est désormais possible de désactiver la redirection des connexions TCP semi-ouvertes en définissant le paramètre « SetEnv proxy-nohalfclose ».
• Des vérifications supplémentaires ont été ajoutées pour s'assurer que les URI non destinées au proxy contiennent un schéma http/https, tandis que celles qui doivent être proxifiées contiennent un nom d'hôte.
• Dans mod_proxy_connect et mod_proxy, il est désormais interdit de modifier le code d'état après son envoi au client.
• Lors de l'envoi de réponses intermédiaires après réception de requêtes avec l'en-tête « Expect: 100-Continue », l'état « 100 Continue » doit être spécifié dans le résultat, et non l'état actuel de la requête.
• Dans mod_dav, la prise en charge des extensions CalDAV a été ajoutée, où lors de la génération d'une propriété, tant les éléments du document que les éléments propriété doivent être pris en compte. De nouvelles fonctions dav_validate_root_ns(), dav_find_child_ns(), dav_find_next_ns(), dav_find_attr_ns() et dav_find_attr() ont été ajoutées et peuvent être appelées depuis d'autres modules.
• Dans mpm_event, un problème a été résolu concernant l'arrêt des processus enfants inactifs après un pic de charge sur le serveur.
• Dans mod_http2, les modifications régressives entraînant un comportement incorrect lors du traitement des limites MaxRequestsPerChild et MaxConnectionsPerChild ont été corrigées.
• Les fonctionnalités du module mod_md, utilisé pour automatiser l'obtention et la gestion de certificats via le protocole ACME (Automatic Certificate Management Environment), ont été étendues :
  • Ajout du support pour le mécanisme ACME External Account Binding (EAB), activé par la directive MDExternalAccountBinding. Les valeurs pour l'EAB peuvent être configurées à partir d'un fichier externe au format JSON, ce qui permet de ne pas divulguer les paramètres d'authentification dans le fichier principal. configuration du serveur.
  • La directive ‘MDCertificateAuthority’ a été mise à jour pour vérifier si le paramètre URL commence par http/https ou l'un des noms prédéfinis (‘LetsEncrypt’, ‘LetsEncrypt-Test’, ‘Buypass’ et ‘Buypass-Test’).
  • La directive MDContactEmail peut être spécifiée à l'intérieur de la section .
  • Correction de plusieurs erreurs, y compris une fuite de mémoire se produisant lors d'échecs de chargement de clé privée.

Source : opennet.ru