Megjelent az Apache 2.4.52 HTTP szerver release, amely 25 változást tartalmaz és 2 sebezhetőséget orvosol:
- CVE-2021-44790 — buffertúlcsordulás a mod_lua-ban, amely a több részből álló (multipart) kérések feldolgozása során lép fel. A sebezhetőség azokat a konfigurációkat érinti, ahol a Lua-scriptek az r:parsebody() függvényt hívják meg a kérés törzsének feldolgozására, és lehetővé teszi a támadó számára, hogy speciálisan formázott kéréssel buffertúlcsordulást idézzen elő. Jelenleg nem igazoltak ki exploit-tételeket, de a probléma potenciálisan kód végrehajtásához vezethet szerveren.
- CVE-2021-44224 — SSRF (Server Side Request Forgery) sebezhetőség a mod_proxy-ban, amely olyan konfigurációkban, ahol engedélyezve van a 'ProxyRequests on' beállítás, lehetővé teszi, hogy egy speciálisan formázott URI-n történt kérés átirányítsa a kérést egy másik kezelőre ugyanazon a szerveren, amely Unix Domain Socket-en keresztül fogadja a kapcsolatokat. A probléma az null pointer dereferálásának kiváltására is felhasználható. A probléma az Apache httpd 2.4.7-es verziójától kezdődően érinti a verziókat.
A legszembetűnőbb nem biztonsági jellegű változások:
- A mod_ssl-ben hozzáadták az OpenSSL 3 könyvtárral való fordítás támogatását.
- Javították az OpenSSL könyvtár felismerését az autoconf skriptekben.
- A mod_proxy számára a tunneling protokollokhoz lehetőséget biztosít a félig nyitott (half-close) TCP kapcsolatok átirányításának letiltására a 'SetEnv proxy-nohalfclose' paraméter beállításával.
- További ellenőrzéseket adtak hozzá, hogy a nem proxizálásra szánt URI-k http/https sémát tartalmazzanak, míg a proxizálásra szánt URI-k tartalmazzák a hostnevet.
- A mod_proxy_connect és mod_proxy letiltja az állapotkód megváltoztatását azután, hogy azt elküldték az ügyfélnek.
- Köztes válaszok küldése esetén, miután a 'Expect: 100-Continue' fejlécű kérések beérkeztek, biztosítva a '100 Continue' állapotot jelzik vissza, nem pedig a kérelem aktuális állapotát.
- A mod_dav-ban támogatást nyújtanak a CalDAV kiterjesztésekhez, amelyekben a tulajdonságok generálásakor figyelembe kell venni mind a dokumentum elemeit, mind a tulajdonság elemeit. Új funkciókat adtak hozzá: dav_validate_root_ns(), dav_find_child_ns(), dav_find_next_ns(), dav_find_attr_ns() és dav_find_attr(), amelyeket más modulokból is hívhatunk.
- Az mpm_event-ben megoldották a leállt gyermekprocesszek problémáját, amelyek a szerver terhelésének csúcsakor maradtak tétlenül.
- A mod_http2 hibás regressziós változásait javították, amelyek helytelen viselkedést okoztak a MaxRequestsPerChild és MaxConnectionsPerChild korlátozások kezelésénél.
- Bővültek a mod_md modul képességei, amelyet az ACME (Automatic Certificate Management Environment) protokollal való automatikus tanúsítványbeszerzés és karbantartás automatizálására használnak:
- Hozzáadva az ACME External Account Binding (EAB) mechanizmus támogatása, amelyet az MDExternalAccountBinding direktívával lehet engedélyezni. Az EAB értékek külső JSON fájlból állíthatók be, ezáltal elkerülhetőek a hitelesítési paraméterek felfedése a fő fájlban. a szerver konfigurációja.
- A ‘MDCertificateAuthority’ direktívában ellenőrzés valósult meg, hogy az URL paraméterében http/https vagy az előre definiált nevek egyike (‘LetsEncrypt’, ‘LetsEncrypt-Test’, ‘Buypass’ és ‘Buypass-Test’) legyen megadva.
- Engedélyezve lett a MDContactEmail direktíva megadása a szekcióban.
- Több hiba javítva, köztük egy memória szivárgás, amely a zárt kulcs betöltési hibáinál lépett fel.
Forrás: opennet.ru
