Apache HTTP sèvè 2.4.52 te lage, entwodwi 25 chanjman ak elimine 2 vilnerabilite:
- CVE-2021-44790 se yon debòde tanpon nan mod_lua ki fèt lè analize demann plizyè pati. Vilnerabilite a afekte konfigirasyon kote script Lua yo rele fonksyon r:parsebody() pou analize kò demann lan, sa ki pèmèt yon atakè lakòz yon debòde tanpon lè li voye yon demann ki fèt espesyalman. Pa gen okenn prèv ki montre yon eksplwate poko te idantifye, men pwoblèm nan kapab potansyèlman mennen nan ekzekisyon an nan kòd li yo sou sèvè a.
- CVE-2021-44224 - SSRF (Sèvè Side Request Forgery) vilnerabilite nan mod_proxy, ki pèmèt, nan konfigirasyon ak "ProxyRequests sou" anviwònman an, atravè yon demann pou yon URI ki fèt espesyalman, reyalize yon redireksyon demann nan yon lòt moun kap okipe menm bagay la. sèvè ki aksepte koneksyon atravè yon Socket Domain Unix. Pwoblèm nan ka itilize tou pou lakòz yon aksidan lè yo kreye kondisyon yo pou yon dereference pointer nil. Pwoblèm nan afekte vèsyon Apache httpd kòmanse nan vèsyon 2.4.7.
Chanjman ki pi remakab ki pa sekirite yo se:
- Te ajoute sipò pou bati ak bibliyotèk OpenSSL 3 nan mod_ssl.
- Amelyore deteksyon bibliyotèk OpenSSL nan scripts autoconf.
- Nan mod_proxy, pou pwotokòl tinèl, li posib pou enfim redireksyon koneksyon TCP mwatye fèmen lè w mete paramèt "SetEnv proxy-nohalfclose".
- Te ajoute chèk adisyonèl ke URI ki pa gen entansyon pou proxy genyen http/https konplo a, ak sa yo ki gen entansyon pou proxy gen non lame a.
- mod_proxy_connect ak mod_proxy pa pèmèt kòd estati a chanje apre li fin voye l bay kliyan an.
- Lè w ap voye repons entèmedyè apre w fin resevwa demann ki gen antèt "Atann: 100-Kontinye", asire w ke rezilta a endike estati "100 Kontinye" olye ke estati aktyèl la nan demann lan.
- mod_dav ajoute sipò pou ekstansyon CalDAV, ki mande tou de eleman dokiman ak eleman pwopriyete yo dwe pran an kont lè jenere yon pwopriyete. Te ajoute nouvo fonksyon dav_validate_root_ns(), dav_find_child_ns(), dav_find_next_ns(), dav_find_attr_ns() ak dav_find_attr(), ki ka rele nan lòt modil.
- Nan mpm_event, pwoblèm nan ak sispann pwosesis timoun san fè anyen konsa apre yon vag nan chaj sèvè yo te rezoud.
- Mod_http2 te fikse chanjman regresyon ki te lakòz move konpòtman lè w te okipe restriksyon MaxRequestsPerChild ak MaxConnectionsPerChild.
- Kapasite mod_md modil la, ki itilize pou otomatize resi ak antretyen sètifika lè l sèvi avèk pwotokòl ACME (Anviwònman Jesyon Sètifika Otomatik), yo te elaji:
- Te ajoute sipò pou mekanis ACME External Account Binding (EAB), ki pèmèt lè l sèvi avèk direktiv MDExternalAccountBinding. Valè pou EAB yo ka konfigirasyon nan yon dosye JSON ekstèn, evite ekspoze paramèt otantifikasyon nan dosye konfigirasyon sèvè prensipal la.
- Direktiv 'MDCertificateAuthority' asire ke paramèt URL la gen http/https oswa youn nan non yo predefini ('LetsEncrypt', 'LetsEncrypt-Test', 'Buypass' ak 'Buypass-Test').
- Pèmèt yo presize direktiv MDContactEmail andedan seksyon an .
- Plizyè ensèk yo te fikse, ki gen ladan yon flit memwa ki rive lè chaje yon kle prive echwe.
Sous: opennet.ru