Objavljen je HTTP server Apache 2.4.52, koji uključuje 25 promjena i ispravlja 2 ranjivosti:
- CVE-2021-44790 — prelivanje bafera u mod_lua, koje se manifestuje prilikom parsiranja višedijelnih zahtjeva (multipart). Ranjivost se odnosi na konfiguracije u kojima Lua skripte pozivaju funkciju r:parsebody() za parsiranje tijela zahtjeva, i omogućava napadaču da izazove prelivanje bafera slanjem posebno oblikovanog zahtjeva. Do sada nisu otkriveni dokazi o eksploataciji, ali problem potencijalno može dovesti do izvršavanja vlastitog koda na serveru.
- CVE-2021-44224 — SSRF ranjivost (Server Side Request Forgery) u mod_proxy, koja omogućava u konfiguracijama s postavkom „ProxyRequests on“ da se kroz zahtjev s posebno oblikovanim URI-jem preusmjeri zahtjev na drugi procesor na istoj mašini, koji prima veze putem Unix Domain Socket-a. Problem se također može iskoristiti za izazivanje rušenja stvaranjem uvjeta za dereferenciranje nultog pokazivača. Problem se odnosi na verzije Apache httpd počevši od verzije 2.4.7.
Najistaknutije promjene, koje nisu vezane uz sigurnost:
- U mod_ssl dodana je podrška za gradnju s OpenSSL 3 bibliotekom.
- Poboljšano je određivanje OpenSSL biblioteke u autoconf skriptama.
- U mod_proxy za protokole tuneliranja omogućena je opcija isključivanja preusmjeravanja polu-zatvorenih (half-close) TCP veza postavljanjem parametra „SetEnv proxy-nohalfclose“.
- Dodane su dodatne provjere da URI koji nije namijenjen za proksiranje sadrži http/https shemu, dok oni namijenjeni za proksiranje sadrže naziv hosta.
- U mod_proxy_connect i mod_proxy zabranjeno je mijenjanje koda stanja nakon što je poslat klijentu.
- Prilikom slanja međurezultatnih odgovora nakon primanja zahtjeva s zaglavljem „Expect: 100-Continue“ osigurano je da se u rezultatu navede stanje „100 Continue“, a ne trenutno stanje zahtjeva.
- U mod_dav dodana je podrška za CalDAV ekstenzije, u kojima prilikom generisanja svojstva treba uzeti u obzir i elemente dokumenta i elemente svojstva. Dodate su nove funkcije dav_validate_root_ns(), dav_find_child_ns(), dav_find_next_ns(), dav_find_attr_ns() i dav_find_attr(), koje se mogu pozivati iz drugih modula.
- U mpm_event riješen je problem sa zaustavljanjem neaktivnih podprocesa nakon naglog porasta opterećenja na serveru.
- U mod_http2 ispravljene su regressive promjene koje dovode do neispravnog ponašanja prilikom obrade ograničenja MaxRequestsPerChild i MaxConnectionsPerChild.
- Proširene mogućnosti modula mod_md, koji se koristi za automatizaciju dobijanja i održavanja certifikata uz pomoć ACME protokola (Automatic Certificate Management Environment):
- Dodana podrška za ACME External Account Binding (EAB) mehanizam, koji se aktivira putem direktive MDExternalAccountBinding. Vrijednosti za EAB mogu se podešavati iz vanjske datoteke u JSON formatu, što omogućava da se podaci za autentifikaciju ne otkrivaju u glavnoj datoteci. konfiguracije servera.
- U direktivi 'MDCertificateAuthority' osigurana je provera da li je URL u parametru http/https ili jedno od unaprijed definisanih imena ('LetsEncrypt', 'LetsEncrypt-Test', 'Buypass' i 'Buypass-Test').
- Dozvoljeno je korišćenje direktive MDContactEmail unutar sekcije .
- Ispravljeno je više grešaka, uključujući rešavanje curenja memorije koje se javlja u slučaju neuspeha pri učitavanju privatnog ključa.
Izvor: opennet.ru
