Objavljen je izdanak HTTP poslužitelja Apache 2.4.58, koji donosi 33 promjene i ispravlja tri ranjivosti, od kojih su dvije povezane s mogućnošću provođenja DoS napada na sustave koji koriste HTTP/2 protokol.
- CVE-2023-45802 — stvaranje uvjeta za iscrpljivanje slobodne memorije zbog odgođenog oslobađanja memorije nakon resetiranja HTTP/2 toka paketom s RST oznakom. Budući da se memorija ne oslobađa odmah nakon obrade RST oznake, već tek nakon zatvaranja veze, napadač može značajno povećati potrošnju memorije slanjem novih zahtjeva i resetiranjem istih RST paketom, no bez zatvaranja veze.
- CVE-2023-43622 — beskonačna blokada obrade HTTP/2 veze, ako je otvorena s postavljenim inicijalnim veličinama kliznog prozora na 0. Ranjivost se može koristiti za provođenje napada uskraćivanja usluge putem iscrpljivanja limita na maksimalni broj otvorenih veza.
- CVE-2023-31122 — ranjivost u mod_macro, koja dovodi do čitanja podataka izvan dodijeljenog međuspremnika.
Među promjenama koje nisu vezane uz sigurnost:
- U mod_http2 dodana je podrška za korištenje WebSocket protokola preko toka u HTTP/2 vezi (RFC 8441). Za uključivanje WebSocket-a preko HTTP/2 predložena je direktiva 'H2WebSockets on|off'.
- U mod_http2 dodana je direktiva 'H2EarlyHint name value' za dodavanje zaglavlja u odgovor '103 Early Hints'.
- U mod_http2 dodana je direktiva 'H2ProxyRequests on|off' za upravljanje uključivanjem obrade zahtjeva putem HTTP/2 u proxy konfiguraciji.
- U mod_http2 dodana je direktiva 'H2MaxDataFrameLen n' za ograničavanje maksimalne veličine tijela odgovora u bajtovima, koji se prenose u jednom DATA kadru u HTTP/2. Prema zadanim postavkama postavljen je limit od 16KB.
- Ažuriran je mime.types datoteka, u kojoj je ekstenzija '.js' povezana s tipom 'text/javascript' umjesto 'application/javascript', i dodane su ekstenzije: '.mjs' (s tipom 'text/javascript') i '.opus' ('audio/ogg'). Dodani su MIME tipovi i ekstenzije koji se primjenjuju u WebAssembly.
- Modul mod_tls (alternativa mod_ssl napisana u Rustu) prebačen je na korištenje rustls-ffi biblioteke verzije 0.9.2+.
- U modul mod_md dodana je direktiva 'MDMatchNames all|servernames' za upravljanje usklađivanjem MDomains s sadržajem VirtualHosts.
- U modul mod_md dodana je direktiva 'MDChallengeDns01Version' za izbor verzije ACME protokola koja se koristi pri verificiranju putem DNS-a.
- U mod_md dopuštena je upotreba direktive MDChallengeDns01 za pojedinačne domena.
- U mod_dav dodana je direktiva ‘DavBasePath’ za postavljanje putanje do korijena WebDav repozitorija.
- U mod_alias dodana je direktiva ‘AliasPreservePath’ za korištenje pune putanje vrijednosti Alias u bloku Location.
- U mod_alias dodana je direktiva ‘RedirectRelative’ koja omogućava preusmjeravanje korištenjem relativnih putanja.
- U direktivu ErrorLogFormat dodani su formati specifiera %{z} i %{strftime-format}.
- U mod_deflate dodana je direktiva ‘DeflateAlterETag’ za upravljanje promjenom ETag prilikom korištenja kompresije.
- Optimizirana je učinkovitost funkcije send_brigade_nonblocking().
- U mod_status osigurano je uklanjanje dupliciranih ključeva ‘BusyWorkers’ i ‘IdleWorkers’, te je dodan novi brojač ‘GracefulWorkers’.
Izvor: opennet.ru
