È stato pubblicato il rilascio del server HTTP Apache 2.4.52, che include 25 modifiche e risolve 2 vulnerabilità:
- CVE-2021-44790 — overflow del buffer in mod_lua, che si verifica durante l'analisi di richieste composte da più parti (multipart). La vulnerabilità colpisce le configurazioni in cui gli script Lua chiamano la funzione r:parsebody() per analizzare il corpo della richiesta, consentendo all'attaccante di provocare un overflow del buffer inviando una richiesta appositamente formattata. Non sono stati ancora riscontrati exploit, ma il problema potrebbe potenzialmente portare all'esecuzione di codice non autorizzato su server.
- CVE-2021-44224 — vulnerabilità SSRF (Server Side Request Forgery) in mod_proxy, che consente, nelle configurazioni con l'opzione «ProxyRequests on», di reindirizzare una richiesta a un altro gestore dello stesso server attraverso una richiesta di URI specificamente formattata, accettando connessioni tramite Unix Domain Socket. Il problema può anche essere sfruttato per causare un crash creando condizioni per la dereferenziazione di un puntatore nullo. Colpisce le versioni di Apache httpd a partire dalla 2.4.7.
Le modifiche più significative non correlate alla sicurezza:
- In mod_ssl è stato aggiunto il supporto per la compilazione con la libreria OpenSSL 3.
- Migliorato il riconoscimento della libreria OpenSSL negli script autoconf.
- Nella mod_proxy per i protocolli di tunneling è stata fornita la possibilità di disabilitare il reindirizzamento delle connessioni TCP semi-aperte (half-close) impostando il parametro «SetEnv proxy-nohalfclose».
- Aggiunti controlli aggiuntivi per assicurare che gli URI non destinati al proxy contengano uno schema http/https, mentre quelli destinati al proxy contengano un nome host.
- Nella mod_proxy_connect e mod_proxy è vietata la modifica del codice di stato dopo che è stato inviato al client.
- Quando vengono inviati risposte intermedie dopo aver ricevuto richieste con intestazione «Expect: 100-Continue» è garantito che il risultato indichi lo stato «100 Continue», e non lo stato attuale della richiesta.
- Nella mod_dav è stata aggiunta la supporto per le estensioni CalDAV, in cui nella generazione delle proprietà devono essere considerati sia gli elementi del documento sia gli elementi della proprietà. Sono state aggiunte nuove funzioni dav_validate_root_ns(), dav_find_child_ns(), dav_find_next_ns(), dav_find_attr_ns() e dav_find_attr(), che possono essere chiamate da altri moduli.
- Nella mpm_event è stato risolto il problema con l'arresto dei processi figlio inattivi dopo un picco di carico sul server.
- In mod_http2, sono state corrette le modifiche regressive che portavano a un comportamento errato nell'elaborazione delle limitazioni MaxRequestsPerChild e MaxConnectionsPerChild.
- Le funzionalità del modulo mod_md, utilizzato per automatizzare l'acquisizione e la gestione dei certificati tramite il protocollo ACME (Automatic Certificate Management Environment), sono state ampliate:
- È stata aggiunta la supporto per il meccanismo di ACME External Account Binding (EAB), abilitabile tramite la direttiva MDExternalAccountBinding. I valori per EAB possono essere configurati da un file esterno in formato JSON, consentendo di non rivelare i parametri di autenticazione nel file principale. configurazione del server.
- Nella direttiva ‘MDCertificateAuthority’ è stata implementata la verifica della specifica nel parametro URL http/https o di uno dei nomi predefiniti (‘LetsEncrypt’, ‘LetsEncrypt-Test’, ‘Buypass’ e ‘Buypass-Test’).
- È consentita la definizione della direttiva MDContactEmail all'interno della sezione .
- Sono stati corretti diversi bug, incluso il problema di fuga di memoria che si verifica in caso di errori durante il caricamento della chiave privata.
Fonte: opennet.ru
