Megjelent az Apache 2.4.58 HTTP-szerver, amely 33 módosítást tartalmaz, és három sebezhetőséget orvosol, amelyek közül kettő a HTTP/2 protokollt használó rendszereket érinti, lehetővé téve a DoS-támadásokat.
- CVE-2023-45802 — memória kimerüléséhez vezető feltételek létrehozása a HTTP/2 áramlás RST jelével történő visszaállítása után, mivel a memória nem azonnal szabadul fel a RST jelének feldolgozása után, hanem csak a kapcsolat lezárásakor. A támadó jelentősen megnövelheti a memóriafogyasztást új kérések küldésével és azok RST csomaggal való visszaállításával, anélkül, hogy bezárná a kapcsolatot.
- CVE-2023-43622 — végtelen blokkolás a HTTP/2 kapcsolat feldolgozásakor, ha az 0-ra van állítva a kezdő ablakméret. A sebezhetőséget a nyitott kapcsolatok maximális számának kimerítésére lehet felhasználni, ami leállításhoz vezethet.
- CVE-2023-31122 — a mod_macro-ban egy sebezhetőség, amely lehetővé teszi adatok olvasását a lefoglalt puffer területén kívül.
A biztonsággal nem kapcsolatos módosítások között:
- A mod_http2 támogatja a WebSocket protokoll használatát az HTTP/2 kapcsolaton belül (RFC 8441). A WebSocket HTTP/2 fölött történő engedélyezéséhez az ‘H2WebSockets on|off’ direktíva javasolt.
- A mod_http2-hez hozzáadva az ‘H2EarlyHint name value’ direktíva, amely lehetővé teszi a ‘103 Early Hints’ válasz fejléceinek hozzáadását.
- A mod_http2-hez hozzáadva az ‘H2ProxyRequests on|off’ direktíva, amely lehetővé teszi az HTTP/2 protokoll kezelésének engedélyezését a proxy konfigurációban.
- A mod_http2-hez hozzáadva az ‘H2MaxDataFrameLen n’ direktíva a válasz maximális méretének korlátozására byte-okban, amelyet egyetlen DATA-csomagban lehet továbbítani az HTTP/2-ben. Alapértelmezett limitként 16KB van beállítva.
- Frissítve a mime.types fájl, amelyben a ‘.js’ kiterjesztés a ‘text/javascript’ típushoz van kötve az ‘application/javascript’ helyett, és hozzáadva a következő kiterjesztések: ‘.mjs’ (a ‘text/javascript’ típussal) és ‘.opus’ (‘audio/ogg’). Hozzáadva MIME-típusok és kiterjesztések a WebAssembly-hez.
- A mod_tls modul (a mod_ssl Rust nyelvű alternatívája) átállt a rustls-ffi 0.9.2+ könyvtár használatára.
- A mod_md modulhoz hozzáadva az ‘MDMatchNames all|servernames’ direktíva az MDomains VirtualHosts tartalmához való hozzárendelésének kezelésére.
- A mod_md modulhoz hozzáadva az ‘MDChallengeDns01Version’ direktíva, amely lehetővé teszi az ACME protokoll verziójának kiválasztását a DNS-en keresztüli hitelesítés során.
- A mod_md-ban engedélyezve van az MDChallengeDns01 direktíva használata egyedi domainok.
- A mod_dav-hoz hozzáadva a ‘DavBasePath’ direktíva a WebDav tároló gyökér útjának beállításához.
- A mod_alias-ban bevezetésre került az ‘AliasPreservePath’ direktíva, amely teljes útvonal értékként használható az Alias blokkban.
- A mod_alias-ban hozzáadva az ‘RedirectRelative’ direktíva, amely lehetővé teszi az átirányítást relatív utak használatával.
- Az ErrorLogFormat direktívához hozzáadva a %{z} és %{strftime-format} formátum-specifikátorok.
- A mod_deflate-hoz bevezetve a ‘DeflateAlterETag’ direktíva az ETag módosításának kezelésére tömörítés használatakor.
- Teljesítményoptimalizálás történt a send_brigade_nonblocking() funkcióban.
- A mod_status-ban biztosítva van a „BusyWorkers” és „IdleWorkers” kulcsok duplikációinak eltávolítása, továbbá egy új „GracefulWorkers” számláló hozzáadása.
Forrás: opennet.ru
