rilascio del server HTTP Apache 2.4.41 (il rilascio 2.4.40 è stato saltato), che introduce e risolve :
- — un problema in mod_http2 che potrebbe causare un danneggiamento della memoria durante l'invio di richieste push nelle fasi iniziali. Con la configurazione "H2PushResource" è possibile sovrascrivere un'area di memoria nel pool di elaborazione delle richieste, ma il problema è limitato al crash, poiché i dati scritti non si basano su informazioni ricevute dal client;
- — esposizione a una recente vulnerabilità DoS nelle implementazioni HTTP/2.
Un attaccante può esaurire la memoria disponibile per il processo e generare un carico elevato sulla CPU, aprendo una finestra HTTP/2 scorrevole per inviare dati dal server senza limitazioni, mantenendo al contempo la finestra TCP chiusa, il che impedisce effettivamente di scrivere dati nel socket; - — problema in mod_rewrite che consente al server di reindirizzare richieste verso altre risorse (open redirect). Alcune configurazioni di mod_rewrite possono portare al reindirizzamento dell'utente verso un altro link, codificato usando il carattere di nuova linea all'interno del parametro utilizzato in un'esistente redirezione. Per bloccare il problema, nel RegexDefaultOptions si può utilizzare il flag PCRE_DOTALL, che ora è impostato come predefinito;
- — possibilità di eseguire cross-site scripting nelle pagine di errore generate da mod_proxy. In queste pagine, l'URL ottenuto dalla richiesta viene inserito nel link, dove l'attaccante, attraverso l'escape dei caratteri, può inserire codice HTML arbitrario;
- — overflow dello stack e dereferenziazione di un puntatore NULL in mod_remoteip, sfruttato tramite manipolazioni con l'intestazione del protocollo PROXY. L'attacco può essere effettuato solo da parte della configurazione del server proxy e non tramite la richiesta del client;
- — vulnerabilità in mod_http2 che consente, al termine della connessione, di avviare la lettura di contenuti da un'area di memoria già liberata (read-after-free).
Le modifiche più significative non correlate alla sicurezza:
- In mod_proxy_balancer, enhanced protection against XSS/XSRF attacks from trusted nodes.
- In mod_session, a SessionExpiryUpdateInterval setting has been added to determine the session/cookie expiration time update interval.
- Pages with errors have been cleaned to prevent displaying information from requests on those pages.
- In mod_http2, the value of the 'LimitRequestFieldSize' parameter is now taken into account, which previously only applied to HTTP/1.1 header field checks.
- Configuration creation for mod_proxy_hcheck is provided when used in BalancerMember.
- Memory consumption in mod_dav has been reduced when using the PROPFIND command on large collections.
- Issues with specifying certificate and SSL settings within the Proxy block have been resolved in mod_proxy and mod_ssl.
- In mod_proxy, the SSLProxyCheckPeer* settings are now allowed for all proxy modules.
- Le funzionalità del modulo , the Let’s Encrypt project for automating the obtaining and maintenance of certificates using the ACME (Automatic Certificate Management Environment) protocol:
- A second version of the protocol has been added, , which is now applied by default and empty POST requests instead of GET.
- Aggiunta la supporto per la verifica basata sull'estensione TLS-ALPN-01 (RFC 7301, Application-Layer Protocol Negotiation), utilizzata in HTTP/2.
- Interrotta la supporto per il metodo di verifica ‘tls-sni-01’ (a causa di ).
- Aggiunte comandi per configurare e interrompere la verifica tramite ‘dns-01’.
- Aggiunto supporto per nei certificati quando viene attivata la verifica basata su DNS (‘dns-01’).
- Implementato il gestore ‘md-status’ e una pagina con lo stato del certificato «https://domain/.httpd/certificate-status».
- Aggiunte le direttive «MDCertificateFile» e «MDCertificateKeyFile» per configurare i parametri dei domini tramite file statici (senza supporto per l'aggiornamento automatico).
- Aggiunta la direttiva «MDMessageCmd» per invocare comandi esterni al verificarsi di eventi ‘renewed’, ‘expiring’ o ‘errored’.
- Aggiunta la direttiva «MDWarnWindow» per configurare il messaggio di avviso sulla scadenza del certificato;
Fonte: opennet.ru
