izdanje HTTP poslužitelja Apache 2.4.41 (izdanje 2.4.40 je propušteno), koje predstavlja i ispravljenih :
- — problem u mod_http2, koji može uzrokovati oštećenje memorije pri slanju push zahtjeva u vrlo ranoj fazi. Kada se koristi postavka „H2PushResource“, može doći do prepisivanja područja memorije u bazenu za obradu zahtjeva, no problem je ograničen na rušenje, jer zapisani podaci nisu temelje na informacijama dobivenim od klijenta;
- — mogućnost nedavne DoS ranjivosti u implementacijama HTTP/2.
Napadač može iscrpiti dostupnu memoriju procesa i stvoriti veliku opterećenost CPU-a, otvarajući klizni prozor HTTP/2 za slanje podataka s poslužitelja bez ograničenja, ali držeći TCP prozor zatvorenim, što onemogućava stvarno zapisivanje podataka u utičnicu; - — problem u mod_rewrite, koji omogućava korištenje poslužitelja za preusmjeravanje zahtjeva na druge resurse (open redirect). Neke postavke mod_rewrite mogu dovesti do preusmjeravanja korisnika na drugu vezu, kodiranu korištenjem simbola novog redka unutar parametra koji se koristi u postojećem preusmjeravanju. Za blokiranje problema u RegexDefaultOptions može se koristiti opcija PCRE_DOTALL, koja je sada zadana;
- — mogućnost izvođenja međusajtnog skriptiranja na stranicama s greškama koje generira mod_proxy. Na tim stranicama u poveznici se umetne URL dobiven iz zahtjeva, gdje napadač putem eskapiranja znakova može umetnuti proizvoljni HTML kod;
- — prelivanje stoga i dereferenciranje NULL pokazivača u mod_remoteip, koje se eksploatira kroz manipulaciju zaglavljem PROXY protokola. Napad može biti izvršen samo s strane korištene u postavkama proxy poslužitelja, a ne putem zahtjeva klijenta;
- — ranjivost u mod_http2, koja omogućava u trenutku zatvaranja veze iniciranje čitanja sadržaja iz već oslobođenog područja memorije (read-after-free).
Najistaknutije promjene, koje nisu vezane uz sigurnost:
- U mod_proxy_balancer pojačana je zaštita od XSS/XSRF napada iz pouzdanih čvorova;
- U mod_session dodana je postavka SessionExpiryUpdateInterval za određivanje intervala ažuriranja vremena isteka sesije/kolačića;
- Provodi se čišćenje stranica s greškama usmjereno na isključivanje ispisivanja na tim stranicama informacija iz zahtjeva;
- U mod_http2 dodana je podrška za parametar „LimitRequestFieldSize“, koji je ranije delovao samo za proveru HTTP/1.1 zaglavlja;
- Omogućena je konfiguracija mod_proxy_hcheck prilikom korišćenja u BalancerMember;
- Smanjena je potrošnja memorije u mod_dav prilikom korišćenja PROPFIND komande na velikoj kolekciji;
- U mod_proxy i mod_ssl rešen je problem sa podešavanjima sertifikata i SSL unutar Proxy bloka;
- U mod_proxy omogućeno je korišćenje SSLProxyCheckPeer* podešavanja za sve proxy module;
- Proširen je kapacitet modula , projekat Let’s Encrypt za automatizaciju dobijanja i održavanja sertifikata koristeći ACME (Automatic Certificate Management Environment) protokol:
- Dodana je druga verzija protokola , koja se sada primenjuje prema zadatku i prazni POST zahtevi umesto GET.
- Dodata je podrška za proveru na osnovu TLS-ALPN-01 ekstenzije (RFC 7301, Pregovaranje protokola na nivou aplikacije), koja se koristi u HTTP/2.
- Prestala je podrška za metodu provere ‘tls-sni-01’ (zbog ).
- Dodate su komande za podešavanje i prekid provere metodom ‘dns-01’.
- Dodana podrška u sertifikatima prilikom uključivanja provere na osnovu DNS (‘dns-01’).
- Implementiran je ‘md-status’ obrtnik i stranica za stanje sertifikata „https://domain/./httpd/certificate-status“.
- Dodate su direktive „MDCertificateFile“ i „MDCertificateKeyFile“ za podešavanje parametara domena preko statičkih fajlova (bez podrške za automatsko ažuriranje).
- Dodata je direktiva „MDMessageCmd“ za pozivanje spoljašnjih komandi prilikom događaja ‘renewed’, ‘expiring’ ili ‘errored’.
- Dodata je direktiva „MDWarnWindow“ za podešavanje poruke upozorenja o isteku sertifikata;
Izvor: opennet.ru
