מהדורת שרת http של Apache 2.4.46 עם פגיעויות מתוקנות

יצא לאור מהדורה של שרת ה-HTTP של Apache 2.4.46 (דילגו על מהדורות 2.4.44 ו-2.4.45), שהציגה 17 שינויים וחוסלו 3 פגיעויות:

• CVE-2020-11984 - גלישת מאגר במודול mod_proxy_uwsgi, אשר יכול להוביל לדליפת מידע או ביצוע קוד בשרת בעת שליחת בקשה בעלת מבנה מיוחד. הפגיעות מנוצלת על ידי שליחת כותרת HTTP ארוכה מאוד. להגנה, נוספה חסימת כותרות ארוכות מ-16K (מגבלה המוגדרת במפרט הפרוטוקול).
• CVE-2020-11993 — פגיעות במודול mod_http2 המאפשרת לתהליך לקרוס בעת שליחת בקשה עם כותרת HTTP/2 שתוכננה במיוחד. הבעיה מתבטאת כאשר איתור באגים או מעקב מופעלים במודול mod_http2 ומתבטאת בשחיתות בתוכן הזיכרון עקב מצב מירוץ בעת שמירת מידע ביומן. הבעיה לא מופיעה כאשר LogLevel מוגדר ל"מידע".
• CVE-2020-9490 — פגיעות במודול mod_http2 המאפשרת לתהליך לקרוס בעת שליחת בקשה דרך HTTP/2 עם ערך כותרת 'Cache-Digest' שתוכנן במיוחד (הקריסה מתרחשת בעת ניסיון לבצע פעולת HTTP/2 PUSH במשאב) . כדי לחסום את הפגיעות, אתה יכול להשתמש בהגדרה "H2Push off".
• CVE-2020-11985 — פגיעות mod_remoteip, המאפשרת לך לזייף כתובות IP במהלך פרוקסי באמצעות mod_remoteip ו-mod_rewrite. הבעיה מופיעה רק עבור מהדורות 2.4.1 עד 2.4.23.

השינויים הבולטים שאינם ביטחוניים הם:

• התמיכה במפרט טיוטה הוסרה מ-mod_http2 kazuho-h2-cache-digest, שהקידום שלו הופסק.
• שינה את ההתנהגות של הוראת "LimitRequestFields" ב-mod_http2; ציון ערך 0 משבית כעת את המגבלה.
• mod_http2 מספק עיבוד של חיבורים ראשוניים ומשניים (מאסטר/משניים) וסימון שיטות בהתאם לשימוש.
• אם תוכן שגוי של כותרת שבוצעה לאחרונה מתקבל מסקריפט FCGI/CGI, כותרת זו מוסרת כעת במקום מוחלפת בתקופת יוניקס.
• הפונקציה ap_parse_strict_length() נוספה לקוד כדי לנתח בקפדנות את גודל התוכן.
• ProxyFCGISetEnvIf של Mod_proxy_fcgi מבטיח שמשתני סביבה יוסרו אם הביטוי הנתון מחזיר False.
• תוקן מצב מירוץ וקריסה אפשרית של mod_ssl בעת שימוש בתעודת לקוח שצוינה דרך הגדרת SSLProxyMachineCertificateFile.
• תוקנה דליפת זיכרון ב-mod_ssl.
• mod_proxy_http2 מספק את השימוש בפרמטר ה-proxy "פינג» בעת בדיקת הפונקציונליות של חיבור חדש או בשימוש חוזר ל-backend.
• הפסיק לחייב את httpd עם האפשרות "-lsystemd" כאשר mod_systemd מופעל.
• mod_proxy_http2 מבטיח שהגדרת ProxyTimeout נלקחת בחשבון בעת ​​המתנה לנתונים נכנסים דרך חיבורים ל-backend.

מקור: OpenNet.ru