Izdanje HTTP poslužitelja Apache 2.4.46 s ispravkom ranjivosti

Objavljeno izdanje HTTP poslužitelja Apache 2.4.46 (izdanja 2.4.44 i 2.4.45 su propuštena), koje predstavlja 17 izmjena i ispravljenih 3 ranjivosti:

• CVE-2020-11984 — prelivanje bafera u modulu mod_proxy_uwsgi, što može dovesti do curenja informacija ili izvršavanja koda na poslužitelju prilikom slanja posebno oblikovanog zahtjeva. Eksploatacija ranjivosti se provodi slanjem vrlo dugog HTTP zaglavlja. Da bi se zaštitili, dodana je blokada zaglavlja dužih od 16K (ograničenje definirano u specifikaciji protokola).
• CVE-2020-11993 — ranjivost u modulu mod_http2, koja dopušta rušenje procesa prilikom slanja zahtjeva s posebno oblikovanim HTTP/2 zaglavljem. Problem se pojavljuje kada je omogućena dijagnostika ili praćenje u modulu mod_http2 i manifestira se oštećenjem sadržaja memorije zbog stanja utrke pri spremanju informacija u log. Problem se ne pojavljuje kada je LogLevel postavljen na ‘info’.
• CVE-2020-9490 — ranjivost u modulu mod_http2, koja dopušta rušenje procesa prilikom slanja zahtjeva preko HTTP/2 s posebno oblikovanom vrijednošću zaglavlja ‘Cache-Digest’ (rušenje nastaje prilikom pokušaja izvršenja HTTP/2 PUSH operacije za resurs). Za blokiranje ranjivosti može se koristiti postavka ‘H2Push off’.
• CVE-2020-11985 — ranjivost mod_remoteip, koja omogućava organiziranje spoofinga IP adresa prilikom proksiranja, koristeći mod_remoteip i mod_rewrite. Problem se pojavljuje samo za izdanja od 2.4.1 do 2.4.23.

Najistaknutije promjene, koje nisu vezane uz sigurnost:

• Iz mod_http2 uklonjena podrška za skicu specifikacije kazuho-h2-cache-digest, čija je promocija obustavljena.
• Promijenjeno ponašanje direktive ‘LimitRequestFields’ u mod_http2, postavljanje vrijednosti 0 sada isključuje ograničenje.
• U mod_http2 omogućena je obrada primarnih i sekundarnih (master/secondary) veza i označavanje metoda ovisno o upotrebi.
• U slučaju primitka neispravnog sadržaja zaglavlja Last-Modified od FCGI/CGI skripte, ovo zaglavlje se sada uklanja, a ne zamjenjuje za epoch vrijeme (Unix epoch).
• U kod je dodana funkcija ap_parse_strict_length() za strogo razdvajanje veličine sadržaja.
• U mod_proxy_fcgi u ProxyFCGISetEnvIf osigurano je uklanjanje varijabli okruženja, ako zadani izraz vraća False.
• Otklonjeno je stanje utrke i moguće rušenje mod_ssl prilikom korištenja korisničkog certifikata, postavljenog putem postavke SSLProxyMachineCertificateFile.
• Otklonjena je curenje memorije u mod_ssl.
• U mod_proxy_http2 omogućeno je korištenje proxy parametra „ping“ prilikom provjere funkcionalnosti nove ili ponovo korištene veze s backendom.
• Prekinuta je povezanost httpd s opcijom „-lsystemd” ako je aktiviran mod_systemd.
• U mod_proxy_http2 osigurano je uzimanje u obzir postavke ProxyTimeout prilikom čekanja na dolazne podatke putem veza s backendom.

Izvor: opennet.ru