Az Apache 2.4.46 HTTP-szerver kiadása (a 2.4.44-es és 2.4.45-ös verziók kimaradtak) számos újítást tartalmaz és javít :
- — puffer túlcsordulás a mod_proxy_uwsgi modulban, amely információszivárgáshoz vagy kódvégrehajtáshoz vezethet a szerveren, ha kifejezetten formázott kérést küldenek. A sérülékenység kihasználása nagyon hosszú HTTP-fejléc átadásával történik. A védelem érdekében blokkolják a 16K-nál hosszabb fejlécet (ez a protokollban megadott korlátozás).
- — sérülékenység a mod_http2 modulban, amely a folyamat törését okozza, ha kifejezetten formázott HTTP/2 fejlécet küldenek. A probléma akkor jelentkezik, ha a hibakeresés vagy nyomkövetés engedélyezve van a mod_http2 modulban, és a memória tartalmának sérülését okozza versenyhelyzet miatt a naplózás során tárolt információk miatt. A probléma nem jelentkezik, ha a LogLevel értéke "info".
- — sérülékenység a mod_http2 modulban, amely a folyamat törését okozza, ha HTTP/2-n keresztül kifejezetten formázott ‘Cache-Digest’ fejlécértéket küldenek (a törés HTTP/2 PUSH művelet végrehajtásakor következik be az erőforráshoz). A sérülékenység blokkolásához a "H2Push off" beállítás használható.
- — a mod_remoteip sérülékenysége, amely IP-címek hamisítását teszi lehetővé a proxyzás során, a mod_remoteip és mod_rewrite használatával. A probléma csak a 2.4.1-től 2.4.23-ig terjedő verziókban jelentkezik.
A legszembetűnőbb nem biztonsági jellegű változások:
- A mod_http2 támogatása eltávolításra került a vázlatos specifikációval kapcsolatban , amelynek népszerűsítése megszűnt.
- A 'LimitRequestFields' direktíva viselkedése a mod_http2-ben megváltozott, a 0 érték megadása most kikapcsolja a korlátozást.
- A mod_http2-ben a fő és másodlagos (master/secondary) kapcsolatok kezelése és a módszerek megjelölése a felhasználás függvényében biztosított.
- Ha a Last-Modified fejléc hibás tartalmat kap a FCGI/CGI kérelmtől, ez a fejléc most már eltávolításra kerül, nem pedig helyettesítésre az Unix epoch időben.
- A kódba be lett építve az ap_parse_strict_length() funkció a tartalom méretének szigorú elemzéséhez.
- A mod_proxy_fcgi-n belül a ProxyFCGISetEnvIf biztosítja, hogy a környezeti változók eltávolításra kerüljenek, ha a megadott kifejezés False értéket ad vissza.
- A mod_ssl versenyhelyzetét és lehetséges törését megszüntették, amikor a kliens tanúsítvány a SSLProxyMachineCertificateFile beállításon keresztül lett megadva.
- Memóriaszivárgás megszüntetése a mod_ssl-ben.
- A mod_proxy_http2 biztosítja a proxy paraméter használatát «» az új vagy újrahasznosított kapcsolat működőképességének ellenőrzéséhez a háttérrendszerrel.
- Megszakították a httpd kapcsolódását az «-lsystemd» opcióhoz, ha a mod_systemd aktív.
- A mod_proxy_http2 biztosítja a ProxyTimeout beállítás figyelembevételét a háttérrendszerrel való kapcsolatok során a bejövő adatok várakozása során.
Forrás: opennet.ru
