Az Apache 2.4.41 HTTP-szerver kiadása sebezhetőségek javításával

Megjelent az Apache 2.4.41 HTTP-szerver kiadása (a 2.4.40-es kiadás kihagyásra került), amely bemutatja 23 változtatást és javít 6 sebezhetőséget:

• CVE-2019-10081 — probléma a mod_http2-ben, amely memória sérüléshez vezethet, amikor push-kéréseket küldenek a legkorábbi szakaszban. A "H2PushResource" beállítás használatakor lehetséges, hogy a memória területeket felülírják a kérés feldolgozó medencéjében, de a probléma korlátozott a rendszer összeomlására, mivel a felülírt adatok nem a kliens által kapott információn alapulnak;
• CVE-2019-9517 — egy újonnan bejelentett szolgáltatásmegtagadási (DoS) sebezhetőség a HTTP/2 implementációkban. A támadó kimerítheti a folyamat rendelkezésre álló memóriáját, és nagy terhelést okozhat a CPU-nak, miközben nyitott HTTP/2 ablakon keresztül küldi az adatokat a szerver, de a TCP ablakot zárva tartja, ami megakadályozza az adatok tényleges írását a socketbe;
  CVE-2019-10098
• — probléma a mod_rewrite-ban, amely lehetővé teszi a szerver számára, hogy átkonvertálja a hivatkozásokat más forrásokra (open redirect). Néhány mod_rewrite beállítás a felhasználót egy másik hivatkozásra terelheti, amelyet a meglévő átkonvertálás paraméterében egy új sort kódoló szimbólummal kodoltak. A probléma blokkolásához a RegexDefaultOptions-ban használható a PCRE_DOTALL zászló, amely mostantól alapértelmezett; CVE-2019-10092
• — lehetőség Cross-Site Scripting (XSS) kísérletekre a mod_proxy által kiadott hibaoldalakon. Ezeken az oldalakon a kérésből kapott URL-t helyezik a hivatkozásba, amelyben a támadó karakterek kiemelésével tetszőleges HTML-kódot helyezhet el; CVE-2019-10097
• — verem túlcsordulás és NULL pointer dereferálás a mod_remoteip-ben, amelyet a PROXY protokoll fejléceinek manipulálásával lehet kihasználni. A támadás csak a proxy-szerver beállításaiban használt részről indítható, nem a kliens kérésén keresztül; CVE-2019-10082
• — sebezhetőség a mod_http2-ben, amely lehetővé teszi, hogy a kapcsolat befejezésekor adatokat olvasunk már felszabadított memóriaterületről (read-after-free). A mod_proxy_balancer-ben a megbízható csomópontoktól származó XSS/XSRF támadások ellen további védelmet erősítettek meg;

A legszembetűnőbb nem biztonsági jellegű változások:

• A mod_session-ben új beállítás került bevezetésre: SessionExpiryUpdateInterval, amely lehetővé teszi a munkamenet/keksz lejárati idejének frissítési intervallumának meghatározását;
• Az Apache 2.4.41 javításai között szerepelnek a mindenféle megbízható csomópontok által elleni XSS/XSRF támadások megerősített védelme is.
• A hibás oldalak tisztítása megtörtént, amely a kérdésekből származó információk kiemelésére irányult az érintett oldalakon;
• A mod_http2-ben figyelembe vették a "LimitRequestFieldSize" paraméter értékét, amely korábban csak a HTTP/1.1 fejléceinek ellenőrzésére vonatkozott;
• Biztosították a mod_proxy_hcheck konfiguráció létrehozását a BalancerMember használatakor;
• Csökkent a memóriafogyasztás a mod_dav-ban a PROPFIND parancs használatakor nagy gyűjteményeken;
• A mod_proxy és mod_ssl esetében megoldották a tanúsítványok és az SSL beállításainak megadásával kapcsolatos problémákat a Proxy blokkban;
• A mod_proxy-ban engedélyezték az SSLProxyCheckPeer* beállítások használatát minden proxy modulhoz;
• A modul lehetőségei kibővültek mod_md, a Let’s Encrypt projekt által kifejlesztett, amely a tanúsítványok ACME (Automatic Certificate Management Environment) protokollon keresztüli automatikus megszerzésére és karbantartására szolgál:
  • Hozzáadták a protokoll második verzióját ACMEv2, amely most már alapértelmezetté vált, és használja üres POST kéréseket használ a GET helyett.
  • Támogatás került bevezetésre a TLS-ALPN-01 (RFC 7301, Application-Layer Protocol Negotiation) kiterjesztés alapú ellenőrzéshez, amelyet HTTP/2-ben használnak.
  • A 'tls-sni-01' ellenőrzési módszer támogatása megszűnt (a sebezhetőségek).
  • Új parancsok kerültek hozzáadásra a 'dns-01' módszer ellenőrzésének beállításához és megszakításához.
  • Támogatás került hozzáadásra maszkok a tanúsítványokban a DNS-alapú ellenőrzés ('dns-01') aktiválásakor.
  • Megvalósították az 'md-status' kezelőt és a tanúsítvány állapotát megjelenítő oldalt "https://domain/.httpd/certificate-status".
  • Hozzáadták az "MDCertificateFile" és "MDCertificateKeyFile" direktívákat a domainek beállításainak statikus fájlokon keresztüli konfigurálásához (automatikus frissítés támogatása nélkül).
  • Hozzáadták az "MDMessageCmd" direktívát az 'renewed', 'expiring' vagy 'errored' események bekövetkeztekor külső parancsok meghívásához.
  • Hozzáadták az "MDWarnWindow" direktívát a tanúsítvány érvényességi idejéről szóló figyelmeztető üzenet konfigurálásához;

Forrás: opennet.ru