Pubblicato il rilascio del server HTTP Apache 2.4.52, che presenta 25 modifiche e risolve 2 vulnerabilità:
- CVE-2021-44790 — buffer overflow in mod_lua, che si manifesta durante l'analisi di richieste composte da più parti (multipart). La vulnerabilità colpisce le configurazioni in cui gli script Lua invocano la funzione r:parsebody() per analizzare il corpo della richiesta e consente a un aggressore di causare un buffer overflow inviando una richiesta appositamente formattata. Finora non sono stati rilevati casi di exploit, ma potenzialmente il problema potrebbe portare all'esecuzione di codice arbitrario su server.
- CVE-2021-44224 — vulnerabilità SSRF (Server Side Request Forgery) in mod_proxy, che consente, nelle configurazioni con impostazione 'ProxyRequests on', di reindirizzare la richiesta a un altro gestore sullo stesso server che accetta connessioni tramite Unix Domain Socket. Il problema può anche essere sfruttato per causare un crash creando condizioni per il dereferenziamento di puntatori nulli. Questo problema colpisce le versioni di Apache httpd a partire dalla versione 2.4.7.
Le modifiche più significative non correlate alla sicurezza:
- In mod_ssl è stata aggiunta la supporto per la compilazione con la libreria OpenSSL 3.
- Migliorato il rilevamento della libreria OpenSSL negli script autoconf.
- In mod_proxy per i protocolli di tunneling è stata fornita la possibilità di disabilitare il reindirizzamento delle connessioni TCP half-close impostando il parametro 'SetEnv proxy-nohalfclose'.
- Aggiunti ulteriori controlli affinché gli URI non destinati al proxy contengano lo schema http/https, mentre quelli destinati al proxy contengano il nome host.
- In mod_proxy_connect e mod_proxy è vietata la modifica del codice di stato dopo che è stato inviato al client.
- Durante l'invio di risposte intermedie dopo aver ricevuto richieste con l'intestazione 'Expect: 100-Continue', è stato garantito che il risultato indicasse lo stato '100 Continue' e non lo stato attuale della richiesta.
- In mod_dav è stato aggiunto supporto per estensioni CalDAV, in cui durante la generazione delle proprietà devono essere considerati sia gli elementi del documento che gli elementi della proprietà. Sono state aggiunte nuove funzioni dav_validate_root_ns(), dav_find_child_ns(), dav_find_next_ns(), dav_find_attr_ns() e dav_find_attr(), che possono essere richiamate da altri moduli.
- In mpm_event è stato risolto un problema con l'arresto dei processi figli inattivi dopo un picco di carico sul server.
- In mod_http2 sono state risolte modifiche regressive che causavano un comportamento errato nella gestione dei limiti MaxRequestsPerChild e MaxConnectionsPerChild.
- Ampliate le funzionalità del modulo mod_md, utilizzato per automatizzare l'ottenimento e la gestione dei certificati tramite il protocollo ACME (Automatic Certificate Management Environment):
- Aggiunta la supporto per il meccanismo ACME External Account Binding (EAB), attivabile tramite la direttiva MDExternalAccountBinding. I valori per EAB possono essere configurati da un file esterno in formato JSON, consentendo di non rivelare i parametri di autenticazione nel file principale configurazione del server.
- Nella direttiva ‘MDCertificateAuthority’ è garantita la verifica della specifica nel parametro URL http/https o di uno dei nomi predefiniti (‘LetsEncrypt’, ‘LetsEncrypt-Test’, ‘Buypass’ e ‘Buypass-Test’).
- È consentita la specifica della direttiva MDContactEmail all'interno della sezione .
- Corrette diverse anomalie, inclusa una perdita di memoria che si verifica in caso di errori durante il caricamento della chiave privata.
Fonte: opennet.ru
