अपाचे http सर्वर रिलीज़ 2.4.43

प्रकाशित अपाचे HTTP सर्वर 2.4.43 की रिलीज़ (रिलीज़ 2.4.42 को छोड़ दिया गया था), जो पेश किया गया 34 परिवर्तन और हटा दिया गया 3 कमजोरियाँ:

• CVE-2020-1927: mod_rewrite में एक भेद्यता जो सर्वर को अन्य संसाधनों (ओपन रीडायरेक्ट) के अनुरोधों को अग्रेषित करने के लिए उपयोग करने की अनुमति देती है। कुछ mod_rewrite सेटिंग्स के परिणामस्वरूप उपयोगकर्ता को किसी अन्य लिंक पर अग्रेषित किया जा सकता है, जो मौजूदा रीडायरेक्ट में उपयोग किए गए पैरामीटर के भीतर एक न्यूलाइन वर्ण का उपयोग करके एन्कोड किया गया है।
• CVE-2020-1934: mod_proxy_ftp में भेद्यता। हमलावर-नियंत्रित एफ़टीपी सर्वर पर अनुरोधों को प्रॉक्सी करते समय अप्रारंभीकृत मानों का उपयोग करने से मेमोरी लीक हो सकती है।
• Mod_ssl में मेमोरी लीक जो OCSP अनुरोधों को चेन करते समय होता है।

सबसे उल्लेखनीय गैर-सुरक्षा परिवर्तन हैं:

• नया मॉड्यूल जोड़ा गया mod_systemd, जो सिस्टमडी सिस्टम मैनेजर के साथ एकीकरण प्रदान करता है। मॉड्यूल आपको "Type=notify" प्रकार वाली सेवाओं में httpd का उपयोग करने की अनुमति देता है।
• एपीएक्स में क्रॉस-संकलन समर्थन जोड़ा गया है।
• ACME (स्वचालित प्रमाणपत्र प्रबंधन पर्यावरण) प्रोटोकॉल का उपयोग करके प्रमाणपत्रों की प्राप्ति और रखरखाव को स्वचालित करने के लिए लेट्स एनक्रिप्ट प्रोजेक्ट द्वारा विकसित mod_md मॉड्यूल की क्षमताओं का विस्तार किया गया है:
  • MDContactEmail निर्देश जोड़ा गया, जिसके माध्यम से आप एक संपर्क ईमेल निर्दिष्ट कर सकते हैं जो ServerAdmin निर्देश के डेटा के साथ ओवरलैप नहीं होता है।
  • सभी वर्चुअल होस्ट के लिए, सुरक्षित संचार चैनल ("tls-alpn-01") पर बातचीत करते समय उपयोग किए जाने वाले प्रोटोकॉल के लिए समर्थन सत्यापित है।
  • ब्लॉक में mod_md निर्देशों का उपयोग करने की अनुमति दें और .
  • यह सुनिश्चित करता है कि MDCChallenges का पुन: उपयोग करते समय पिछली सेटिंग्स ओवरराइट हो गई हैं।
  • CTLog मॉनिटर के लिए यूआरएल कॉन्फ़िगर करने की क्षमता जोड़ी गई।
  • MDMessageCmd निर्देश में परिभाषित आदेशों के लिए, सर्वर पुनरारंभ के बाद एक नया प्रमाणपत्र सक्रिय करते समय "इंस्टॉल" तर्क के साथ एक कॉल प्रदान की जाती है (उदाहरण के लिए, इसका उपयोग अन्य अनुप्रयोगों के लिए एक नया प्रमाणपत्र कॉपी करने या परिवर्तित करने के लिए किया जा सकता है)।
• mod_proxy_hcheck ने चेक एक्सप्रेशन में %{Content-Type} मास्क के लिए समर्थन जोड़ा।
• यूजरट्रैक कुकी प्रोसेसिंग को कॉन्फ़िगर करने के लिए CookieSameSite, CookieHTTPOnly और CookieSecure मोड को mod_usertrack में जोड़ा गया है।
• mod_proxy_ajp पुराने AJP13 प्रमाणीकरण प्रोटोकॉल का समर्थन करने के लिए प्रॉक्सी हैंडलर के लिए एक "गुप्त" विकल्प लागू करता है।
• OpenWRT के लिए कॉन्फ़िगरेशन सेट जोड़ा गया।
• SSLCertificateFile/KeyFile में PKCS#11 URI को निर्दिष्ट करके OpenSSL इंजन से निजी कुंजी और प्रमाणपत्रों का उपयोग करने के लिए mod_ssl में समर्थन जोड़ा गया।
• सतत एकीकरण प्रणाली ट्रैविस सीआई का उपयोग करके परीक्षण कार्यान्वित किया गया।
• ट्रांसफर-एन्कोडिंग हेडर की पार्सिंग कड़ी कर दी गई है।
• mod_ssl वर्चुअल होस्ट के संबंध में TLS प्रोटोकॉल बातचीत प्रदान करता है (OpenSSL-1.1.1+ के साथ निर्मित होने पर समर्थित)।
• कमांड तालिकाओं के लिए हैशिंग का उपयोग करके, "ग्रेसफुल" मोड में पुनरारंभ तेज हो जाता है (चल रहे क्वेरी प्रोसेसर को बाधित किए बिना)।
• केवल पढ़ने के लिए तालिकाएँ r:headers_in_table, r:headers_out_table, r:err_headers_out_table, r:notes_table और r:subprocess_env_table को mod_lua में जोड़ा गया। तालिकाओं को "शून्य" मान निर्दिष्ट करने की अनुमति दें।
• Mod_authn_socache में कैश्ड लाइन के आकार की सीमा 100 से बढ़ाकर 256 कर दी गई है।

स्रोत: opennet.ru