{"id":111027,"date":"2023-10-22T03:10:14","date_gmt":"2023-10-22T01:10:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/reliz-http-servera-apache-2-4-58-s-ustraneniem-dos-uyazvimostej-v-http-2"},"modified":"2023-10-22T03:10:14","modified_gmt":"2023-10-22T01:10:14","slug":"reliz-http-servera-apache-2-4-58-s-ustraneniem-dos-uyazvimostej-v-http-2","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/reliz-http-servera-apache-2-4-58-s-ustraneniem-dos-uyazvimostej-v-http-2","title":{"rendered":"Rilascio del server http Apache 2.4.58 con correzione delle vulnerabilit\u00e0 DoS in HTTP\/2","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
\u00c8 stato pubblicato il rilascio del server HTTP Apache 2.4.58, che include 33 modifiche e risolve tre vulnerabilit\u00e0, due delle quali sono legate alla possibilit\u00e0 di attacchi DoS su sistemi che utilizzano il protocollo HTTP\/2. <\/p>\n
\n
CVE-2023-45802 \u2014 creazione di condizioni per l'esaurimento della memoria disponibile a causa del rilascio ritardato della memoria dopo il reset del flusso HTTP\/2 con un pacchetto RST. Poich\u00e9 la memoria viene rilasciata solo dopo la chiusura della connessione e non immediatamente dopo l'elaborazione del flag RST, un attaccante pu\u00f2 aumentare significativamente il consumo di memoria inviando nuove richieste e resettandole con un pacchetto RST senza chiudere la connessione.\n
CVE-2023-43622 \u2014 blocco infinito nell'elaborazione della connessione HTTP\/2 se \u00e8 stata aperta con la dimensione iniziale della finestra scorrevole impostata su 0. Questa vulnerabilit\u00e0 pu\u00f2 essere sfruttata per generare un attacco di denial of service esaurendo il limite sul numero massimo di connessioni aperte.\n
CVE-2023-31122 \u2014 vulnerabilit\u00e0 in mod_macro che consente di leggere i dati dall'area al di fuori del buffer allocato. <\/ul>\n
Tra le modifiche non correlate alla sicurezza: <\/p>\n
\n
In mod_http2 \u00e8 stata aggiunta la supporto per l'uso del protocollo WebSocket sopra il flusso di connessione HTTP\/2 (RFC 8441). Per attivare WebSocket sopra HTTP\/2 \u00e8 stata proposta la direttiva 'H2WebSockets on|off'.\n
In mod_http2 \u00e8 stata aggiunta la direttiva 'H2EarlyHint name value' per l'aggiunta di intestazioni alla risposta '103 Early Hints'.\n
In mod_http2 \u00e8 stata aggiunta la direttiva 'H2ProxyRequests on|off' per gestire l'attivazione dell'elaborazione delle richieste tramite il protocollo HTTP\/2 nella configurazione del proxy.\n
In mod_http2 \u00e8 stata aggiunta la direttiva 'H2MaxDataFrameLen n' per limitare la dimensione massima del corpo della risposta in byte, trasmesso in un singolo FRAME DATA in HTTP\/2. Per impostazione predefinita, \u00e8 stato impostato un limite di 16 KB.\n
Il file mime.types \u00e8 stato aggiornato, in cui l'estensione '.js' \u00e8 stata associata al tipo 'text\/javascript' invece di 'application\/javascript', e sono state aggiunte le estensioni: '.mjs' (con tipo 'text\/javascript') e '.opus' ('audio\/ogg'). Sono stati aggiunti MIME type e estensioni utilizzati in WebAssembly.\n
Il modulo mod_tls (alternativa a mod_ssl in Rust) \u00e8 stato convertito per utilizzare la libreria rustls-ffi 0.9.2+.\n
Nel modulo mod_md \u00e8 stata aggiunta la direttiva 'MDMatchNames all|servernames' per gestire l'abbinamento di MDomains con il contenuto dei VirtualHosts.\n
Nel modulo mod_md \u00e8 stata aggiunta la direttiva 'MDChallengeDns01Version' per selezionare la versione del protocollo ACME utilizzata per la verifica tramite DNS.\n
Nel mod_md \u00e8 stata consentita l'uso della direttiva MDChallengeDns01 per singoli dei domini<\/a>.\n