HTTP/2.4.58 માં DoS નબળાઈઓને દૂર કરવા સાથે અપાચે 2 HTTP સર્વરનું પ્રકાશન

Apache HTTP સર્વર 2.4.58 નું પ્રકાશન પ્રકાશિત કરવામાં આવ્યું છે, જે 33 ફેરફારો રજૂ કરે છે અને ત્રણ નબળાઈઓને દૂર કરે છે, જેમાંથી બે HTTP/2 પ્રોટોકોલનો ઉપયોગ કરીને સિસ્ટમો પર DoS હુમલો કરવાની સંભાવના સાથે સંબંધિત છે.

• CVE-2023-45802 RST ફ્લેગ સાથેના પેકેટ દ્વારા HTTP/2 સ્ટ્રીમ રીસેટ થયા પછી વિલંબિત મેમરી ડીલલોકેશનને કારણે મેમરી એક્ઝોશન સ્થિતિ બનાવવામાં આવે છે. કારણ કે RST ફ્લેગની પ્રક્રિયા કર્યા પછી તરત જ મેમરી રિલીઝ થતી નથી, પરંતુ કનેક્શન બંધ થયા પછી જ, હુમલાખોર નવી વિનંતીઓ મોકલીને અને RST પેકેટ સાથે ફ્લશ કરીને મેમરી વપરાશમાં નોંધપાત્ર વધારો કરી શકે છે, પરંતુ કનેક્શન બંધ કર્યા વિના.
• CVE-2023-43622 – HTTP/2 કનેક્શન પ્રોસેસિંગ બ્લોક્સ અનિશ્ચિત સમય માટે જો તે પ્રારંભિક સ્લાઇડિંગ વિન્ડો માપ 0 પર સેટ સાથે ખોલવામાં આવે તો. નબળાઈનો ઉપયોગ ઓપન કનેક્શન્સની મહત્તમ માન્ય સંખ્યાની મર્યાદાને વટાવીને સેવાનો ઇનકાર કરવા માટે થઈ શકે છે.
• CVE-2023-31122 એ mod_macro માં એક નબળાઈ છે જે ફાળવેલ બફરની બહારના વિસ્તારમાંથી ડેટા વાંચવાની મંજૂરી આપે છે.

બિન-સુરક્ષા ફેરફારો પૈકી:

• mod_http2 HTTP/2 કનેક્શન (RFC 8441) માં સ્ટ્રીમ પર વેબસોકેટ પ્રોટોકોલનો ઉપયોગ કરવા માટે સપોર્ટ ઉમેરે છે. HTTP/2 પર WebSocket ને સક્ષમ કરવા માટે, 'H2WebSockets on|off' નિર્દેશક પ્રસ્તાવિત કરવામાં આવ્યો છે.
• "2 પ્રારંભિક સંકેતો" પ્રતિસાદમાં હેડરો ઉમેરવા માટે mod_http2 પર 'H103EarlyHint નામ મૂલ્ય' નિર્દેશક ઉમેર્યું.
• પ્રોક્સી રૂપરેખાંકનમાં HTTP/2 વિનંતી પ્રક્રિયા સક્ષમ છે કે કેમ તે નિયંત્રિત કરવા માટે mod_http2 પર 'H2ProxyRequests on|off' ડાયરેક્ટિવ ઉમેર્યું.
• 'H2MaxDataFrameLen n' ડાયરેક્ટિવ HTTP/2 માં એક ડેટા ફ્રેમમાં પ્રસારિત બાઇટ્સમાં પ્રતિભાવ બોડીના મહત્તમ કદને મર્યાદિત કરવા માટે mod_http2 માં ઉમેરવામાં આવ્યું છે. ડિફોલ્ટ મર્યાદા 16KB છે.
• mime.types ફાઇલને અપડેટ કરી, જેમાં ".js" એક્સટેન્શન 'application/javascript' ને બદલે 'text/javascript' પ્રકાર સાથે બંધાયેલ છે અને એક્સ્ટેંશન ઉમેર્યા છે: ".mjs" ('text/javascript' પ્રકાર સાથે ) અને ".ઓપસ" ( 'ઑડિઓ/ઓગ'). WebAssembly માં ઉપયોગમાં લેવાતા MIME પ્રકારો અને એક્સ્ટેંશન ઉમેર્યા.
• mod_tls મોડ્યુલ (Rust ભાષામાં mod_ssl નો વિકલ્પ) rustls-ffi 0.9.2+ લાઇબ્રેરીનો ઉપયોગ કરવા માટે અનુવાદ કરવામાં આવ્યો છે.
• વર્ચ્યુઅલહોસ્ટ સામગ્રીઓ સાથે MDomains કેવી રીતે મેળ ખાય છે તે નિયંત્રિત કરવા માટે mod_md મોડ્યુલમાં 'MDMatchNames all|servernames' ડાયરેક્ટિવ ઉમેર્યું.
• DNS ચકાસણી માટે ઉપયોગમાં લેવાતા ACME પ્રોટોકોલ સંસ્કરણને પસંદ કરવા માટે mod_md મોડ્યુલમાં 'MDChallengeDns01Version' નિર્દેશ ઉમેરવામાં આવ્યો છે.
• mod_md વ્યક્તિગત ડોમેન્સ માટે MDChallengeDns01 ડાયરેક્ટિવનો ઉપયોગ કરવાની મંજૂરી આપે છે.
• WebDav રીપોઝીટરીના રુટના પાથને ગોઠવવા માટે mod_dav માં 'DavBasePath' ડાયરેક્ટિવ ઉમેર્યું.
• સંપૂર્ણ પાથ તરીકે સ્થાન બ્લોકમાં ઉપનામ મૂલ્યનો ઉપયોગ કરવા માટે mod_alias માં 'AliasPreservePath' નિર્દેશ ઉમેર્યો.
• mod_alias માં 'RedirectRelative' ડાયરેક્ટિવ ઉમેર્યું, સંબંધિત પાથનો ઉપયોગ કરીને રીડાયરેક્ટ કરવાની મંજૂરી આપે છે.
• ErrorLogFormat ડાયરેક્ટિવમાં %{z} અને %{strftime-format} ફોર્મેટ સ્પષ્ટીકરણો ઉમેરવામાં આવ્યા છે.
• જ્યારે કમ્પ્રેશનનો ઉપયોગ કરવામાં આવે ત્યારે ETag કેવી રીતે બદલાય છે તે નિયંત્રિત કરવા માટે mod_deflate માં 'DeflateAlterETag' ડાયરેક્ટિવ ઉમેર્યું.
• send_brigade_nonblocking() ફંક્શનનું પ્રદર્શન ઑપ્ટિમાઇઝ કરવામાં આવ્યું છે.
• Mod_status ખાતરી કરે છે કે ડુપ્લિકેટ કી "BusyWorkers" અને "IdleWorkers" દૂર કરવામાં આવી છે, અને એક નવું કાઉન્ટર "GracefulWorkers" ઉમેરવામાં આવ્યું છે.

સોર્સ: opennet.ru