versión do servidor HTTP Apache 2.4.46 (omitironse as versións 2.4.44 e 2.4.45), que introduciu e eliminado :
- — un desbordamento do búfer no módulo mod_proxy_uwsgi, que pode provocar fugas de información ou execución de código no servidor cando se envía unha solicitude especialmente elaborada. A vulnerabilidade é explotada enviando unha cabeceira HTTP moi longa. Para protección, engadiuse o bloqueo de cabeceiras de máis de 16K (un límite definido na especificación do protocolo).
- — unha vulnerabilidade no módulo mod_http2 que permite que o proceso falle ao enviar unha solicitude cunha cabeceira HTTP/2 especialmente deseñada. O problema maniféstase cando se activa a depuración ou o rastrexo no módulo mod_http2 e provoca a corrupción da memoria debido a unha condición de carreira ao gardar información no rexistro. O problema non aparece cando LogLevel está configurado como "info".
- — unha vulnerabilidade no módulo mod_http2 que permite que un proceso falle cando se envía unha solicitude a través de HTTP/2 cun valor de cabeceira "Cache-Digest" especialmente deseñado (o fallo prodúcese cando se tenta realizar unha operación PUSH HTTP/2 nun recurso) . Para bloquear a vulnerabilidade, pode usar a opción "H2Push off".
- — Vulnerabilidade mod_remoteip, que lle permite falsificar os enderezos IP durante o proxy usando mod_remoteip e mod_rewrite. O problema só aparece para as versións 2.4.1 a 2.4.23.
Os cambios non relacionados coa seguridade máis salientables son:
- Eliminouse o soporte para o borrador da especificación de mod_http2 , cuxa promoción foi paralizada.
- Cambiouse o comportamento da directiva "LimitRequestFields" en mod_http2; especificar un valor de 0 agora desactiva o límite.
- mod_http2 proporciona o procesamento de conexións primarias e secundarias (mestra/secundaria) e marca de métodos dependendo do uso.
- Se se recibe contido incorrecto da cabeceira da última modificación dun script FCGI/CGI, agora elimínase en lugar de substituírse na época de Unix.
- A función ap_parse_strict_length() engadiuse ao código para analizar estrictamente o tamaño do contido.
- ProxyFCGISetEnvIf de Mod_proxy_fcgi garante que se eliminen as variables de ambiente se a expresión indicada devolve False.
- Corrixiuse unha condición de carreira e un posible fallo de mod_ssl ao usar un certificado de cliente especificado mediante a configuración SSLProxyMachineCertificateFile.
- Corrixiuse a fuga de memoria en mod_ssl.
- mod_proxy_http2 proporciona o uso do parámetro proxy "» ao comprobar a funcionalidade dunha conexión nova ou reutilizada ao backend.
- Deixou de vincular httpd coa opción "-lsystemd" cando mod_systemd está activado.
- mod_proxy_http2 garante que se teña en conta a configuración ProxyTimeout cando se agarda a entrada de datos a través de conexións ao backend.
Fonte: opennet.ru