🥇 कमजोरियों को ठीक करने के साथ अपाचे 2.4.41 http सर्वर जारी

प्रकाशित अपाचे HTTP सर्वर 2.4.41 की रिलीज़ (रिलीज़ 2.4.40 को छोड़ दिया गया था), जो पेश किया गया 23 परिवर्तन और हटा दिया गया 6 कमजोरियाँ:

CVE-2019-10081 mod_http2 में एक समस्या है जो बहुत प्रारंभिक चरण में पुश अनुरोध भेजते समय मेमोरी भ्रष्टाचार का कारण बन सकती है। "H2PushResource" सेटिंग का उपयोग करते समय, अनुरोध प्रोसेसिंग पूल में मेमोरी को ओवरराइट करना संभव है, लेकिन समस्या क्रैश तक सीमित है क्योंकि लिखा जा रहा डेटा क्लाइंट से प्राप्त जानकारी पर आधारित नहीं है;
CVE-2019-9517 - हालिया प्रदर्शन की घोषणा की HTTP/2 कार्यान्वयन में DoS कमजोरियाँ।
एक हमलावर किसी प्रक्रिया के लिए उपलब्ध मेमोरी को समाप्त कर सकता है और सर्वर के लिए बिना किसी प्रतिबंध के डेटा भेजने के लिए एक स्लाइडिंग HTTP/2 विंडो खोलकर भारी सीपीयू लोड बना सकता है, लेकिन टीसीपी विंडो को बंद रखकर, डेटा को वास्तव में सॉकेट में लिखे जाने से रोकता है;
CVE-2019-10098 - mod_rewrite में एक समस्या, जो आपको अन्य संसाधनों (ओपन रीडायरेक्ट) के अनुरोधों को अग्रेषित करने के लिए सर्वर का उपयोग करने की अनुमति देती है। कुछ mod_rewrite सेटिंग्स के परिणामस्वरूप उपयोगकर्ता को किसी अन्य लिंक पर अग्रेषित किया जा सकता है, जो मौजूदा रीडायरेक्ट में उपयोग किए गए पैरामीटर के भीतर एक न्यूलाइन वर्ण का उपयोग करके एन्कोड किया गया है। RegexDefaultOptions में समस्या को रोकने के लिए, आप PCRE_DOTALL ध्वज का उपयोग कर सकते हैं, जो अब डिफ़ॉल्ट रूप से सेट है;
CVE-2019-10092 - mod_proxy द्वारा प्रदर्शित त्रुटि पृष्ठों पर क्रॉस-साइट स्क्रिप्टिंग करने की क्षमता। इन पृष्ठों पर, लिंक में अनुरोध से प्राप्त यूआरएल होता है, जिसमें एक हमलावर कैरेक्टर एस्केपिंग के माध्यम से मनमाना HTML कोड डाल सकता है;
CVE-2019-10097 - mod_remoteip में स्टैक ओवरफ़्लो और NULL पॉइंटर डीरेफ़रेंस, PROXY प्रोटोकॉल हेडर के हेरफेर के माध्यम से शोषण किया गया। हमला केवल सेटिंग्स में प्रयुक्त प्रॉक्सी सर्वर की ओर से ही किया जा सकता है, क्लाइंट अनुरोध के माध्यम से नहीं;
CVE-2019-10082 - mod_http2 में एक भेद्यता, जो कनेक्शन समाप्ति के समय, पहले से ही मुक्त मेमोरी क्षेत्र (रीड-आफ्टर-फ्री) से सामग्री को पढ़ने की शुरुआत करने की अनुमति देती है।

सबसे उल्लेखनीय गैर-सुरक्षा परिवर्तन हैं:

mod_proxy_balancer ने विश्वसनीय साथियों से XSS/XSRF हमलों के विरुद्ध सुरक्षा में सुधार किया है;
सत्र/कुकी समाप्ति समय को अपडेट करने के लिए अंतराल निर्धारित करने के लिए mod_session में एक sessionExpiryUpdateInterval सेटिंग जोड़ी गई है;
त्रुटियों वाले पृष्ठों को साफ़ कर दिया गया, जिसका उद्देश्य इन पृष्ठों पर अनुरोधों से जानकारी के प्रदर्शन को समाप्त करना था;
mod_http2 "LimitRequestFieldSize" पैरामीटर के मान को ध्यान में रखता है, जो पहले केवल HTTP/1.1 हेडर फ़ील्ड की जाँच के लिए मान्य था;
यह सुनिश्चित करता है कि BalancerMember में उपयोग किए जाने पर mod_proxy_hcheck कॉन्फ़िगरेशन बनाया गया है;
बड़े संग्रह पर PROPFIND कमांड का उपयोग करते समय mod_dav में मेमोरी की खपत कम हो गई;
mod_proxy और mod_ssl में, प्रॉक्सी ब्लॉक के अंदर प्रमाणपत्र और SSL सेटिंग्स निर्दिष्ट करने की समस्याओं का समाधान कर दिया गया है;
mod_proxy SSLProxyCheckPeer* सेटिंग्स को सभी प्रॉक्सी मॉड्यूल पर लागू करने की अनुमति देता है;
मॉड्यूल क्षमताओं का विस्तार हुआ mod_md, द्वारा विकसित आइए ACME (स्वचालित प्रमाणपत्र प्रबंधन पर्यावरण) प्रोटोकॉल का उपयोग करके प्रमाणपत्रों की प्राप्ति और रखरखाव को स्वचालित करने के लिए प्रोजेक्ट को एन्क्रिप्ट करें:
- प्रोटोकॉल का दूसरा संस्करण जोड़ा गया ACMEv2, जो अब डिफ़ॉल्ट है और का उपयोग करता है GET के बजाय खाली POST अनुरोध।
- TLS-ALPN-01 एक्सटेंशन (RFC 7301, एप्लिकेशन-लेयर प्रोटोकॉल नेगोशिएशन) के आधार पर सत्यापन के लिए समर्थन जोड़ा गया, जिसका उपयोग HTTP/2 में किया जाता है।
- 'Tls-sni-01' सत्यापन विधि के लिए समर्थन बंद कर दिया गया है कमजोरियों).
- 'डीएनएस-01' विधि का उपयोग करके चेक को सेट करने और तोड़ने के लिए आदेश जोड़े गए।
- समर्थन जोड़ा गया मास्क प्रमाणपत्रों में जब DNS-आधारित सत्यापन सक्षम होता है ('dns-01')।
- 'md-status' हैंडलर और प्रमाणपत्र स्थिति पृष्ठ 'https://domain/.httpd/certificate-status' कार्यान्वित किया गया।
- स्थिर फ़ाइलों (ऑटो-अपडेट समर्थन के बिना) के माध्यम से डोमेन पैरामीटर कॉन्फ़िगर करने के लिए "MDCertificateFile" और "MDCertificateKeyFile" निर्देश जोड़े गए।
- 'नवीनीकृत', 'समाप्ति' या 'त्रुटिपूर्ण' घटनाएँ होने पर बाहरी कमांड को कॉल करने के लिए "MDMessageCmd" निर्देश जोड़ा गया।
- प्रमाणपत्र समाप्ति के बारे में चेतावनी संदेश को कॉन्फ़िगर करने के लिए "MDWarnWindow" निर्देश जोड़ा गया;