અપાચે 2.4.41 HTTP સર્વરનું પ્રકાશન નબળાઈઓ નિશ્ચિત સાથે

પ્રકાશિત અપાચે HTTP સર્વર 2.4.41 (પ્રકાશન 2.4.40 છોડવામાં આવ્યું હતું) નું પ્રકાશન, જેણે રજૂ કર્યું 23 ફેરફારો અને નાબૂદ 6 નબળાઈઓ:

• CVE-2019-10081 mod_http2 માં એક સમસ્યા છે જે ખૂબ જ પ્રારંભિક તબક્કે પુશ વિનંતીઓ મોકલતી વખતે મેમરી ભ્રષ્ટાચાર તરફ દોરી શકે છે. "H2PushResource" સેટિંગનો ઉપયોગ કરતી વખતે, રિક્વેસ્ટ પ્રોસેસિંગ પૂલમાં મેમરીને ઓવરરાઇટ કરવી શક્ય છે, પરંતુ સમસ્યા ક્રેશ સુધી મર્યાદિત છે કારણ કે જે ડેટા લખવામાં આવી રહ્યો છે તે ક્લાયંટ પાસેથી મળેલી માહિતી પર આધારિત નથી;
• CVE-2019-9517 - તાજેતરના એક્સપોઝર જાહેરાત કરી HTTP/2 અમલીકરણમાં DoS નબળાઈઓ.
  હુમલાખોર પ્રક્રિયા માટે ઉપલબ્ધ મેમરીને ખતમ કરી શકે છે અને સર્વર માટે પ્રતિબંધો વિના ડેટા મોકલવા માટે સ્લાઇડિંગ HTTP/2 વિન્ડો ખોલીને ભારે CPU લોડ બનાવી શકે છે, પરંતુ TCP વિન્ડોને બંધ રાખીને, ડેટાને ખરેખર સોકેટમાં લખતા અટકાવે છે;

• CVE-2019-10098 - mod_rewrite માં સમસ્યા છે, જે તમને અન્ય સંસાધનો (ઓપન રીડાયરેક્ટ) પર વિનંતીઓ ફોરવર્ડ કરવા માટે સર્વરનો ઉપયોગ કરવાની મંજૂરી આપે છે. કેટલીક mod_rewrite સેટિંગ્સના પરિણામે વપરાશકર્તાને બીજી લિંક પર ફોરવર્ડ કરવામાં આવી શકે છે, જે હાલના રીડાયરેક્ટમાં ઉપયોગમાં લેવાતા પેરામીટરની અંદર નવી લાઇન અક્ષરનો ઉપયોગ કરીને એન્કોડ કરવામાં આવે છે. RegexDefaultOptions માં સમસ્યાને અવરોધિત કરવા માટે, તમે PCRE_DOTALL ફ્લેગનો ઉપયોગ કરી શકો છો, જે હવે મૂળભૂત રીતે સેટ છે;
• CVE-2019-10092 - mod_proxy દ્વારા પ્રદર્શિત ભૂલ પૃષ્ઠો પર ક્રોસ-સાઇટ સ્ક્રિપ્ટીંગ કરવાની ક્ષમતા. આ પૃષ્ઠો પર, લિંક વિનંતીમાંથી મેળવેલ URL સમાવે છે, જેમાં હુમલાખોર અક્ષર એસ્કેપિંગ દ્વારા મનસ્વી HTML કોડ દાખલ કરી શકે છે;
• CVE-2019-10097 mod_remoteip માં સ્ટેક ઓવરફ્લો અને NULL પોઇન્ટર ડિરેફરન્સ, PROXY પ્રોટોકોલ હેડરની હેરફેર દ્વારા શોષણ. હુમલો ફક્ત સેટિંગ્સમાં ઉપયોગમાં લેવાતા પ્રોક્સી સર્વરની બાજુથી જ કરી શકાય છે, અને ક્લાયંટની વિનંતી દ્વારા નહીં;
• CVE-2019-10082 - mod_http2 માં એક નબળાઈ કે જે કનેક્શન સમાપ્તિની ક્ષણે, પહેલાથી મુક્ત કરેલ મેમરી એરિયા (વાંચ્યા પછી-મુક્ત) માંથી સામગ્રીઓનું વાંચન શરૂ કરવાની મંજૂરી આપે છે.

સૌથી નોંધપાત્ર બિન-સુરક્ષા ફેરફારો છે:

• mod_proxy_balancer એ વિશ્વસનીય સાથીઓ તરફથી XSS/XSRF હુમલાઓ સામે રક્ષણમાં સુધારો કર્યો છે;
• સત્ર/કુકી સમાપ્તિ સમયને અપડેટ કરવા માટે અંતરાલ નક્કી કરવા માટે mod_session માં SessionExpiryUpdateInterval સેટિંગ ઉમેરવામાં આવ્યું છે;
• ભૂલોવાળા પૃષ્ઠોને સાફ કરવામાં આવ્યા હતા, જેનો હેતુ આ પૃષ્ઠો પરની વિનંતીઓમાંથી માહિતીના પ્રદર્શનને દૂર કરવાનો હતો;
• mod_http2 "LimitRequestFieldSize" પેરામીટરના મૂલ્યને ધ્યાનમાં લે છે, જે અગાઉ માત્ર HTTP/1.1 હેડર ફીલ્ડ્સ તપાસવા માટે માન્ય હતું;
• ખાતરી કરે છે કે જ્યારે BalancerMember માં ઉપયોગ કરવામાં આવે ત્યારે mod_proxy_hcheck રૂપરેખાંકન બનાવવામાં આવે છે;
• મોટા સંગ્રહ પર PROPFIND આદેશનો ઉપયોગ કરતી વખતે mod_dav માં મેમરી વપરાશમાં ઘટાડો;
• mod_proxy અને mod_ssl માં, પ્રોક્સી બ્લોકની અંદર પ્રમાણપત્ર અને SSL સેટિંગ્સનો ઉલ્લેખ કરવાની સમસ્યાઓ ઉકેલાઈ ગઈ છે;
• mod_proxy SSLProxyCheckPeer* સેટિંગ્સને તમામ પ્રોક્સી મોડ્યુલો પર લાગુ કરવાની મંજૂરી આપે છે;
• મોડ્યુલ ક્ષમતાઓ વિસ્તૃત મોડ_એમડી, વિકસિત ચાલો ACME (ઓટોમેટિક સર્ટિફિકેટ મેનેજમેન્ટ એન્વાયર્નમેન્ટ) પ્રોટોકોલનો ઉપયોગ કરીને પ્રમાણપત્રોની રસીદ અને જાળવણીને સ્વચાલિત કરવા માટે એન્ક્રિપ્ટ પ્રોજેક્ટ કરીએ:
  • પ્રોટોકોલનું બીજું સંસ્કરણ ઉમેર્યું ACMEv2, જે હવે ડિફોલ્ટ છે અને ઉપયોગ કરે છે GET ને બદલે ખાલી POST વિનંતીઓ.
  • TLS-ALPN-01 એક્સ્ટેંશન (RFC 7301, એપ્લિકેશન-લેયર પ્રોટોકોલ નેગોશિયેશન) પર આધારિત ચકાસણી માટે ઉમેરાયેલ સમર્થન, જેનો ઉપયોગ HTTP/2 માં થાય છે.
  • 'tls-sni-01' ચકાસણી પદ્ધતિ માટેનો આધાર બંધ કરવામાં આવ્યો છે (કારણે નબળાઈઓ).
  • 'dns-01' પદ્ધતિનો ઉપયોગ કરીને ચેક સેટ કરવા અને તોડવા માટેના આદેશો ઉમેર્યા.
  • ઉમેરાયેલ આધાર માસ્ક પ્રમાણપત્રોમાં જ્યારે DNS-આધારિત ચકાસણી સક્ષમ હોય ('dns-01').
  • 'md-status' હેન્ડલર અને પ્રમાણપત્ર સ્થિતિ પૃષ્ઠ 'https://domain/.httpd/certificate-status' અમલમાં મૂક્યું.
  • સ્થિર ફાઇલો (સ્વતઃ-અપડેટ સપોર્ટ વિના) દ્વારા ડોમેન પરિમાણોને ગોઠવવા માટે "MDCertificateFile" અને "MDCertificateKeyFile" નિર્દેશો ઉમેર્યા.
  • જ્યારે 'નવીકરણ', 'એક્સપાયરી' અથવા 'ભૂલ થયેલી' ઘટનાઓ થાય ત્યારે બાહ્ય આદેશોને કૉલ કરવા માટે "MDMessageCmd" નિર્દેશ ઉમેર્યો.
  • પ્રમાણપત્ર સમાપ્તિ વિશે ચેતવણી સંદેશને ગોઠવવા માટે "MDWarnWindow" નિર્દેશ ઉમેર્યો;

સોર્સ: opennet.ru