Hoʻokuʻu ʻia ʻo Apache 2.4.41 http server me nā nāwaliwali i hoʻopaʻa ʻia

paʻi ʻia ka hoʻokuʻu ʻana o ka server Apache HTTP 2.4.41 (ua hoʻokuʻu ʻia ka 2.4.40), i hoʻolauna 23 hoʻololi a hoopauia 6 nawaliwali:

• CVE-2019-10081 He pilikia i mod_http2 hiki ke alakaʻi i ka palaho hoʻomanaʻo i ka hoʻouna ʻana i nā noi pana i ka wā mua loa. I ka hoʻohana ʻana i ka hoʻonohonoho "H2PushResource", hiki ke hoʻololi i ka hoʻomanaʻo i loko o ka wai hoʻoponopono noi, akā ua kaupalena ʻia ka pilikia i kahi pōʻino no ka mea ʻaʻole i hoʻokumu ʻia ka ʻikepili i kākau ʻia ma ka ʻike i loaʻa mai ka mea kūʻai aku;
• CVE-2019-9517 - hōʻike hou hoolaha Nā nāwaliwali o DoS i nā hoʻokō HTTP/2.
  Hiki i ka mea hoʻouka ke hoʻopau i ka hoʻomanaʻo i loaʻa i kahi kaʻina hana a hana i kahi haʻahaʻa CPU kaumaha ma ka wehe ʻana i kahi puka aniani HTTP / 2 sliding no ka server e hoʻouna i ka ʻikepili me ka ʻole o ke kaohi ʻana, akā paʻa ka puka makani TCP, e pale ana i ka ʻikepili mai ka kākau maoli ʻana i ke kumu;

• CVE-2019-10098 - he pilikia ma mod_rewrite, e hiki ai iā ʻoe ke hoʻohana i ke kikowaena e hoʻouna i nā noi i nā kumuwaiwai ʻē aʻe (wehe wehe). Hiki paha i kekahi mau hoʻonohonoho mod_rewrite ke hoʻouna ʻia ka mea hoʻohana i kahi loulou ʻē aʻe, i hoʻopaʻa ʻia me kahi ʻano laina hou i loko o kahi ʻāpana i hoʻohana ʻia i kahi hoʻihoʻi hou. No ka pale ʻana i ka pilikia ma RegexDefaultOptions, hiki iā ʻoe ke hoʻohana i ka hae PCRE_DOTALL, i hoʻonohonoho ʻia i kēia manawa e ka paʻamau;
• CVE-2019-10092 - ka hiki ke hana i ka palapala hōʻailona ma nā ʻaoʻao hewa i hōʻike ʻia e mod_proxy. Ma kēia mau ʻaoʻao, loaʻa i ka loulou ka URL i loaʻa mai ka noi, kahi e hiki ai i ka mea hoʻouka ke hoʻokomo i ka code HTML arbitrary ma o ka pakele ʻana;
• CVE-2019-10097 - ka hoʻoulu ʻana a me ka NULL pointer dereference i mod_remoteip, i hoʻohana ʻia ma o ka hoʻohana ʻana i ke poʻomanaʻo protocol PROXY. Hiki ke hoʻouka ʻia ka hoʻouka ʻana mai ka ʻaoʻao o ka server proxy i hoʻohana ʻia i nā hoʻonohonoho, ʻaʻole ma o kahi noi a ka mea kūʻai aku;
• CVE-2019-10082 - he palupalu i mod_http2 e hiki ai, i ka manawa o ka pau ana o ka pilina, e hoʻomaka i ka heluhelu ʻana i nā ʻike mai kahi wahi hoʻomanaʻo i hoʻokuʻu ʻia (heluhelu-hope-noa).

ʻO nā hoʻololi palekana ʻole i kaulana loa:

• Ua hoʻomaikaʻi ʻo mod_proxy_balancer i ka palekana mai nā hōʻeha XSS/XSRF mai nā hoa hilinaʻi;
• Ua hoʻohui ʻia kahi hoʻonohonoho SessionExpiryUpdateInterval i mod_session no ka hoʻoholo ʻana i ka wā no ka hoʻonui ʻana i ka manawa pau o ke kau/kuki;
• Ua hoʻomaʻemaʻe ʻia nā ʻaoʻao me nā hewa, e hoʻopau i ka hōʻike ʻana o ka ʻike mai nā noi ma kēia mau ʻaoʻao;
• E noʻonoʻo ʻo mod_http2 i ka waiwai o ka "LimitRequestFieldSize" parameter, i kūpono ma mua no ka nānā ʻana i nā kahua poʻomanaʻo HTTP/1.1;
• E hōʻoia e hana ʻia ka hoʻonohonoho mod_proxy_hcheck ke hoʻohana ʻia ma BalancerMember;
• Hoʻemi ʻia ka hoʻomanaʻo ʻana i mod_dav i ka wā e hoʻohana ai i ke kauoha PROPFIND ma kahi hōʻiliʻili nui;
• Ma mod_proxy a me mod_ssl, ua hoʻoholo ʻia nā pilikia me ka wehewehe ʻana i ka palapala hōʻoia a me nā hoʻonohonoho SSL i loko o ka poloka Proxy;
• ʻAe ʻo mod_proxy i nā hoʻonohonoho SSLProxyCheckPeer* e hoʻohana ʻia i nā module proxy āpau;
• Hoʻonui ʻia nā mana o ka module mod_md, kūkulu ʻia Let's Encrypt project e hoʻokaʻawale i ka loaʻa a me ka mālama ʻana i nā palapala hōʻoia me ka hoʻohana ʻana i ka protocol ACME (Automatic Certificate Management Environment):
  • Hoʻohui ʻia ka mana ʻelua o ka protocol ACMEv2, ʻo ia ka mea paʻamau a hoʻohana nā noi POST hakahaka ma kahi o GET.
  • Hoʻohui i ke kākoʻo no ka hōʻoia e pili ana i ka hoʻonui TLS-ALPN-01 (RFC 7301, Application-Layer Protocol Negotiation), i hoʻohana ʻia ma HTTP/2.
  • Ua hoʻopau ʻia ke kākoʻo no ke ʻano hōʻoia 'tls-sni-01' (ma muli o nawaliwali).
  • Hoʻohui ʻia nā kauoha no ka hoʻonohonoho ʻana a me ka uhaki ʻana i ka māka me ke ʻano 'dns-01'.
  • Hoʻohui kākoʻo mask i nā palapala hōʻoia ke hoʻohana ʻia ka hōʻoia pili i ka DNS ('dns-01').
  • Hoʻokō 'ia ka 'md-status' a me ka palapala kūlana palapala 'https://domain/.httpd/certificate-status'.
  • Hoʻohui ʻia nā kuhikuhi "MDCertificateFile" a me "MDCertificateKeyFile" no ka hoʻonohonoho ʻana i nā ʻāpana domain ma o nā faila static (me ka ʻole o ke kākoʻo hou-aunoa).
  • Hoʻohui ʻia ke kuhikuhi "MDMessageCmd" e kāhea i nā kauoha o waho ke loaʻa nā hanana 'hōʻano hou', 'e pau ana' a i ʻole 'hewa.
  • Hoʻohui ʻia ke kuhikuhi "MDWarnWindow" e hoʻonohonoho i kahi leka hoʻomaopopo e pili ana i ka pau ʻana o ka palapala;

Source: opennet.ru