અપાચે 2.4.46 HTTP સર્વરનું પ્રકાશન નબળાઈઓ નિશ્ચિત સાથે

પ્રકાશિત Apache HTTP સર્વર 2.4.46 નું પ્રકાશન (પ્રકાશન 2.4.44 અને 2.4.45 છોડવામાં આવ્યું હતું), જે રજૂ કરવામાં આવ્યું હતું 17 ફેરફારો અને નાબૂદ 3 નબળાઈઓ:

• CVE-2020-11984 — mod_proxy_uwsgi મોડ્યુલમાં બફર ઓવરફ્લો, જે ખાસ તૈયાર કરેલી વિનંતી મોકલતી વખતે સર્વર પર માહિતી લિકેજ અથવા કોડ એક્ઝિક્યુશન તરફ દોરી શકે છે. ખૂબ લાંબુ HTTP હેડર મોકલીને નબળાઈનો ઉપયોગ કરવામાં આવે છે. સુરક્ષા માટે, 16K કરતા વધુ લાંબા હેડરોનું બ્લોકીંગ ઉમેરવામાં આવ્યું છે (પ્રોટોકોલ સ્પષ્ટીકરણમાં વ્યાખ્યાયિત મર્યાદા).
• CVE-2020-11993 — mod_http2 મોડ્યુલમાં નબળાઈ કે જે ખાસ રીતે રચાયેલ HTTP/2 હેડર સાથે વિનંતી મોકલતી વખતે પ્રક્રિયાને ક્રેશ થવા માટે પરવાનગી આપે છે. જ્યારે mod_http2 મોડ્યુલમાં ડીબગીંગ અથવા ટ્રેસીંગ સક્ષમ કરેલ હોય ત્યારે સમસ્યા પોતાને પ્રગટ કરે છે અને લોગમાં માહિતી સાચવતી વખતે રેસની સ્થિતિને કારણે મેમરી ક્ષતિમાં પરિણમે છે. જ્યારે LogLevel "માહિતી" પર સેટ કરેલ હોય ત્યારે સમસ્યા દેખાતી નથી.
• CVE-2020-9490 — mod_http2 મોડ્યુલમાં નબળાઈ કે જે ખાસ રીતે રચાયેલ 'કેશ-ડાયજેસ્ટ' હેડર મૂલ્ય સાથે HTTP/2 મારફતે વિનંતી મોકલતી વખતે પ્રક્રિયાને ક્રેશ થવા દે છે (સંસાધન પર HTTP/2 PUSH ઑપરેશન કરવાનો પ્રયાસ કરતી વખતે ક્રેશ થાય છે) . નબળાઈને અવરોધિત કરવા માટે, તમે "H2Push off" સેટિંગનો ઉપયોગ કરી શકો છો.
• CVE-2020-11985 — mod_remoteip નબળાઈ, જે તમને mod_remoteip અને mod_rewrite નો ઉપયોગ કરીને પ્રોક્સી કરતી વખતે IP એડ્રેસને સ્પૂફ કરવા દે છે. સમસ્યા ફક્ત 2.4.1 થી 2.4.23 સુધીના પ્રકાશનો માટે જ દેખાય છે.

સૌથી નોંધપાત્ર બિન-સુરક્ષા ફેરફારો છે:

• ડ્રાફ્ટ સ્પષ્ટીકરણ માટેનો આધાર mod_http2 માંથી દૂર કરવામાં આવ્યો છે kazuho-h2-cache-digest, જેમનું પ્રમોશન અટકાવવામાં આવ્યું છે.
• mod_http2 માં "LimitRequestFields" ડાયરેક્ટિવની વર્તણૂક બદલાઈ છે; 0 નું મૂલ્ય સ્પષ્ટ કરવાથી હવે મર્યાદા નિષ્ક્રિય થાય છે.
• mod_http2 પ્રાથમિક અને ગૌણ (માસ્ટર/સેકન્ડરી) જોડાણોની પ્રક્રિયા અને ઉપયોગના આધારે પદ્ધતિઓનું માર્કિંગ પૂરું પાડે છે.
• જો FCGI/CGI સ્ક્રિપ્ટમાંથી અયોગ્ય છેલ્લું-સંશોધિત હેડર સામગ્રી પ્રાપ્ત થાય છે, તો આ હેડર હવે યુનિક્સ યુગમાં બદલવાને બદલે દૂર કરવામાં આવે છે.
• ap_parse_strict_length() ફંક્શનને કન્ટેન્ટ સાઇઝને કડક રીતે પાર્સ કરવા માટે કોડમાં ઉમેરવામાં આવ્યું છે.
• Mod_proxy_fcgi નું ProxyFCGISetEnvIf એ સુનિશ્ચિત કરે છે કે જો આપેલ અભિવ્યક્તિ False પરત કરે છે તો પર્યાવરણ ચલો દૂર કરવામાં આવે છે.
• SSLProxyMachineCertificateFile સેટિંગ દ્વારા ઉલ્લેખિત ક્લાયંટ પ્રમાણપત્રનો ઉપયોગ કરતી વખતે રેસની સ્થિતિ અને સંભવિત mod_ssl ક્રેશને ઠીક કરે છે.
• mod_ssl માં સ્થિર મેમરી લીક.
• mod_proxy_http2 પ્રોક્સી પેરામીટરનો ઉપયોગ પૂરો પાડે છે "ટેબલ ટેનિસની રમતનું વેપારી» જ્યારે બેકએન્ડ પર નવા અથવા પુનઃઉપયોગી જોડાણની કાર્યક્ષમતા તપાસી રહ્યા હોય.
• જ્યારે mod_systemd સક્ષમ હોય ત્યારે "-lsystemd" વિકલ્પ સાથે httpd બંધન કરવાનું બંધ કર્યું.
• mod_proxy_http2 એ સુનિશ્ચિત કરે છે કે જ્યારે બેકએન્ડ સાથેના જોડાણો દ્વારા ઇનકમિંગ ડેટાની રાહ જોઈ રહ્યા હોય ત્યારે ProxyTimeout સેટિંગ ધ્યાનમાં લેવામાં આવે છે.

સોર્સ: opennet.ru