rilascio del server HTTP Apache 2.4.41 (la versione 2.4.40 è stata saltata), che presenta e risolve :
- — problema in mod_http2, che può portare a danneggiamenti della memoria durante l'invio di richieste push nelle fasi iniziali. Utilizzando l'impostazione "H2PushResource", può verificarsi una sovrascrittura della memoria nell'area del pool di elaborazione delle richieste, ma il problema si limita a un crash, poiché i dati scritti non sono basati su informazioni ricevute dal client;
- — esposizione a una recently vulnerabilità DoS nelle implementazioni HTTP/2.
Un attaccante può esaurire la memoria disponibile per il processo e creare un carico elevato sulla CPU, aprendo una finestra HTTP/2 per inviare dati dal server senza restrizioni, ma mantenendo chiusa la finestra TCP, il che non consente di scrivere effettivamente i dati nel socket; - — problema in mod_rewrite, che consente di utilizzare il server per reindirizzare le richieste ad altre risorse (open redirect). Alcune impostazioni di mod_rewrite possono portare a un reindirizzamento dell'utente verso un altro link, codificato con un carattere di nuova riga all'interno del parametro utilizzato in un esistente reindirizzamento. Per bloccare il problema, in RegexDefaultOptions è possibile utilizzare il flag PCRE_DOTALL, che ora è impostato per default;
- — possibilità di eseguire scripting tra siti sulle pagine di errore emesse da mod_proxy. Su queste pagine, nel link viene inserito l'URL ottenuto dalla richiesta, in cui l'attaccante, tramite l'escaping dei caratteri, può inserire codice HTML arbitrario;
- — overflow dello stack e dereferenziazione di un puntatore NULL in mod_remoteip, sfruttato tramite manipolazioni dell'intestazione del protocollo PROXY. L'attacco può essere effettuato solo dal lato del proxy configurato, e non tramite la richiesta del client;
- — vulnerabilità in mod_http2, che consente durante la chiusura della connessione di innescare la lettura del contenuto da un'area di memoria già liberata (read-after-free).
Le modifiche più significative non correlate alla sicurezza:
- In mod_proxy_balancer è stata potenziata la protezione contro gli attacchi XSS/XSRF da parte di nodi attendibili;
- In mod_session è stata aggiunta l'impostazione SessionExpiryUpdateInterval per definire l'intervallo di aggiornamento del tempo di scadenza della sessione/cookie;
- È stata effettuata una pulizia delle pagine con errori, mirata ad escludere la visualizzazione di informazioni su queste pagine da richieste;
- In mod_http2 è stata garantita la considerazione del valore del parametro «LimitRequestFieldSize», che in precedenza operava solo per il controllo dei campi degli header HTTP/1.1;
- È stata garantita la creazione della configurazione mod_proxy_hcheck quando utilizzata in BalancerMember;
- Ridotto il consumo di memoria in mod_dav quando si utilizza il comando PROPFIND su una grande collezione;
- In mod_proxy e mod_ssl sono stati risolti problemi relativi all'impostazione delle configurazioni sui certificati e SSL all'interno del blocco Proxy;
- In mod_proxy è consentito l'uso delle impostazioni SSLProxyCheckPeer* per tutti i moduli proxy;
- Sono state ampliate le funzionalità del modulo , dal progetto Let’s Encrypt per automatizzare l'ottenimento e la gestione dei certificati utilizzando il protocollo ACME (Automatic Certificate Management Environment):
- È stata aggiunta la seconda versione del protocollo , che ora è applicata per impostazione predefinita e richieste POST vuote invece di GET.
- È stato aggiunto il supporto per la verifica basata su TLS-ALPN-01 (RFC 7301, Application-Layer Protocol Negotiation), che è utilizzata in HTTP/2.
- È stata interrotta la supporto per il metodo di verifica 'tls-sni-01' (a causa di ).
- Sono stati aggiunti comandi per la configurazione e la disconnessione della verifica del metodo 'dns-01'.
- È stata aggiunta la supporto per nei certificati quando è attivata la verifica basata su DNS ('dns-01').
- È stato implementato il gestore 'md-status' e la pagina sullo stato del certificato «https://domain/.httpd/certificate-status».
- Sono state aggiunte le direttive «MDCertificateFile» e «MDCertificateKeyFile» per configurare i parametri dei domini tramite file statici (senza supporto per l'auto-aggiornamento).
- È stata aggiunta la direttiva «MDMessageCmd» per l'invocazione di comandi esterni in caso di eventi 'renewed', 'expiring' o 'errored'.
- È stata aggiunta la direttiva «MDWarnWindow» per configurare il messaggio di avviso sull'imminente scadenza del certificato;
Fonte: opennet.ru
