Rilascio del server HTTP Apache 2.4.46 (le versioni 2.4.44 e 2.4.45 sono state saltate), che presenta e risolve :
- — vulnerabilità di overflow del buffer nel modulo mod_proxy_uwsgi, che può portare a perdite di informazioni o all'esecuzione di codice sul server tramite la spedizione di una richiesta appositamente formattata. Sfruttare la vulnerabilità avviene attraverso l'invio di intestazioni HTTP molto lunghe. Per proteggere, è stata aggiunta un blocco delle intestazioni più lunghe di 16K (limite definito nella specifica del protocollo).
- — vulnerabilità nel modulo mod_http2, che consente di causare il crash del processo inviando una richiesta con un'intestazione HTTP/2 appositamente formattata. Il problema si verifica quando è attivata la modalità di debug o di tracciamento nel modulo mod_http2 e si manifesta in un corrotto contenuto di memoria a causa di una condizione di competizione durante il salvataggio delle informazioni nel log. Il problema non si manifesta impostando LogLevel a «info».
- — vulnerabilità nel modulo mod_http2, che consente di causare il crash del processo inviando una richiesta tramite HTTP/2 con un valore di intestazione ‘Cache-Digest’ appositamente formattato (il crash si verifica quando si tenta di eseguire un’operazione HTTP/2 PUSH per una risorsa). Per bloccare la vulnerabilità, si può utilizzare l'impostazione «H2Push off».
- — vulnerabilità in mod_remoteip, che consente di organizzare uno spoofing degli indirizzi IP durante l'instradamento, utilizzando mod_remoteip e mod_rewrite. Il problema si verifica solo per le versioni dalla 2.4.1 alla 2.4.23.
Le modifiche più significative non correlate alla sicurezza:
- È stata rimossa dal mod_http2 la supporto per la bozza della specifica , il cui sviluppo è stato interrotto.
- Il comportamento della direttiva «LimitRequestFields» nel mod_http2 è stato modificato, specificare un valore di 0 ora disabilita il limite.
- Nel mod_http2 è stato implementato il trattamento delle connessioni principali e secondarie (master/secondary) e la marcatura dei metodi in base all'uso.
- In caso di ricezione di un'intestazione Last-Modified non valida dallo script FCGI/CGI, questa intestazione ora viene rimossa, anziché sostituita con il tempo epoch (Unix epoch).
- Nel codice è stata aggiunta la funzione ap_parse_strict_length() per un'analisi rigorosa della dimensione del contenuto.
- Nel mod_proxy_fcgi, ProxyFCGISetEnvIf è stata implementata la rimozione delle variabili ambiente se l'espressione fornita restituisce False.
- È stata risolta una condizione di competizione e un possibile crash di mod_ssl durante l'uso di un certificato cliente specificato tramite l'impostazione SSLProxyMachineCertificateFile.
- È stata rimossa una perdita di memoria in mod_ssl.
- Nel mod_proxy_http2 è stato implementato l'uso del parametro proxy «» durante il controllo dello stato di una nuova o riutilizzata connessione con il backend.
- È stata interrotta l'associazione di httpd con l'opzione «-lsystemd», se mod_systemd è attivato.
- Nel mod_proxy_http2 è stata garantita l'osservanza dell'impostazione ProxyTimeout durante l'attesa di dati in arrivo tramite connessioni con il backend.
Fonte: opennet.ru
