મોડ_લુઆમાં બફર ઓવરફ્લો ફિક્સ સાથે અપાચે 2.4.52 HTTP સર્વરનું પ્રકાશન

Apache HTTP સર્વર 2.4.52 રિલીઝ કરવામાં આવ્યું છે, જેમાં 25 ફેરફારો રજૂ કરવામાં આવ્યા છે અને 2 નબળાઈઓને દૂર કરવામાં આવી છે:

• CVE-2021-44790 એ mod_lua માં બફર ઓવરફ્લો છે જે મલ્ટિપાર્ટ વિનંતીઓનું વિશ્લેષણ કરતી વખતે થાય છે. નબળાઈ રૂપરેખાંકનોને અસર કરે છે જેમાં લુઆ સ્ક્રિપ્ટ્સ વિનંતીના મુખ્ય ભાગને પાર્સ કરવા માટે r:parsebody() ફંક્શનને કૉલ કરે છે, જે હુમલાખોરને ખાસ રચિત વિનંતી મોકલીને બફર ઓવરફ્લો થવા દે છે. શોષણના કોઈ પુરાવા હજુ સુધી ઓળખવામાં આવ્યા નથી, પરંતુ સમસ્યા સર્વર પર તેના કોડના અમલ તરફ દોરી શકે છે.
• CVE-2021-44224 - mod_proxy માં SSRF (સર્વર સાઇડ રિક્વેસ્ટ ફોર્જરી) નબળાઈ, જે "ProxyRequests on" સેટિંગ સાથેના રૂપરેખાંકનોમાં, ખાસ ડિઝાઇન કરેલ URI માટે વિનંતી દ્વારા, તે જ પર બીજા હેન્ડલરને વિનંતી રીડાયરેશન પ્રાપ્ત કરવા માટે પરવાનગી આપે છે. સર્વર કે જે યુનિક્સ ડોમેન સોકેટ દ્વારા જોડાણો સ્વીકારે છે. નલ પોઇન્ટર ડિરેફરન્સ માટે શરતો બનાવીને ક્રેશ થવા માટે પણ આ સમસ્યાનો ઉપયોગ કરી શકાય છે. આ સમસ્યા આવૃત્તિ 2.4.7 થી શરૂ થતા Apache httpd ની આવૃત્તિઓને અસર કરે છે.

સૌથી નોંધપાત્ર બિન-સુરક્ષા ફેરફારો છે:

• mod_ssl માં OpenSSL 3 લાઇબ્રેરી સાથે બિલ્ડ કરવા માટે સમર્થન ઉમેર્યું.
• ઑટોકોન્ફ સ્ક્રિપ્ટ્સમાં સુધારેલ OpenSSL લાઇબ્રેરી શોધ.
• mod_proxy માં, ટનલિંગ પ્રોટોકોલ્સ માટે, "SetEnv proxy-nohalfclose" પેરામીટર સેટ કરીને અડધા-બંધ TCP કનેક્શનના પુનઃદિશામાનને અક્ષમ કરવું શક્ય છે.
• વધારાના ચેકો ઉમેર્યા કે જે URIs પ્રોક્સી કરવા માટે ન હોય તેમાં http/https સ્કીમ હોય છે, અને પ્રોક્સી કરવા માટે બનાવાયેલ હોય તે હોસ્ટનું નામ ધરાવે છે.
• mod_proxy_connect અને mod_proxy સ્ટેટસ કોડ ક્લાયંટને મોકલ્યા પછી તેને બદલવાની મંજૂરી આપતા નથી.
• "અપેક્ષા: 100-ચાલુ રાખો" હેડર સાથે વિનંતીઓ પ્રાપ્ત કર્યા પછી મધ્યવર્તી જવાબો મોકલતી વખતે, ખાતરી કરો કે પરિણામ વિનંતીની વર્તમાન સ્થિતિને બદલે "100 ચાલુ રાખો" ની સ્થિતિ સૂચવે છે.
• mod_dav CalDAV એક્સ્ટેંશન માટે સપોર્ટ ઉમેરે છે, જેમાં પ્રોપર્ટી જનરેટ કરતી વખતે દસ્તાવેજ તત્વો અને પ્રોપર્ટી તત્વો બંનેને ધ્યાનમાં લેવા જરૂરી છે. નવા ફંક્શન ઉમેર્યા dav_validate_root_ns(), dav_find_child_ns(), dav_find_next_ns(), dav_find_attr_ns() અને dav_find_attr(), જેને અન્ય મોડ્યુલમાંથી બોલાવી શકાય.
• mpm_event માં, સર્વર લોડમાં વધારો થયા પછી નિષ્ક્રિય ચાઇલ્ડ પ્રક્રિયાઓને રોકવાની સમસ્યા ઉકેલાઈ ગઈ છે.
• Mod_http2 એ રીગ્રેશન ફેરફારોને નિશ્ચિત કર્યા છે જે MaxRequestsPerChild અને MaxConnectionsPerChild પ્રતિબંધોને હેન્ડલ કરતી વખતે ખોટી વર્તણૂકનું કારણ બને છે.
• ACME (ઓટોમેટિક સર્ટિફિકેટ મેનેજમેન્ટ એન્વાયર્નમેન્ટ) પ્રોટોકોલનો ઉપયોગ કરીને પ્રમાણપત્રોની રસીદ અને જાળવણીને સ્વચાલિત કરવા માટે ઉપયોગમાં લેવાતા mod_md મોડ્યુલની ક્ષમતાઓને વિસ્તૃત કરવામાં આવી છે:
  • MDExternalAccountBinding ડાયરેક્ટિવનો ઉપયોગ કરીને સક્ષમ કરેલ ACME External Account Binding (EAB) મિકેનિઝમ માટે ઉમેરાયેલ સમર્થન. EAB માટેના મૂલ્યો બાહ્ય JSON ફાઇલમાંથી ગોઠવી શકાય છે, મુખ્ય સર્વર રૂપરેખાંકન ફાઇલમાં પ્રમાણીકરણ પરિમાણોને ખુલ્લા કરવાનું ટાળીને.
  • 'MDCertificateAuthority' નિર્દેશ સુનિશ્ચિત કરે છે કે URL પેરામીટરમાં http/https અથવા પૂર્વવ્યાખ્યાયિત નામોમાંથી એક ('LetsEncrypt', 'LetsEncrypt-Test', 'Buypass' અને 'Buypass-Test') શામેલ છે.
  • વિભાગની અંદર MDContactEmail નિર્દેશનો ઉલ્લેખ કરવાની મંજૂરી છે .
  • કેટલીક ભૂલોને ઠીક કરવામાં આવી છે, જેમાં મેમરી લીકનો સમાવેશ થાય છે જે ખાનગી કી લોડ કરતી વખતે નિષ્ફળ જાય છે.

સોર્સ: opennet.ru