Server HTTP Apache 2.4.52 wis dirilis, ngenalake 25 owah-owahan lan ngilangi 2 kerentanan:
- CVE-2021-44790 minangka overflow buffer ing mod_lua sing kedadeyan nalika parsing panjalukan multipart. Kerentanan mengaruhi konfigurasi ing ngendi skrip Lua nyebut fungsi r: parsebody () kanggo ngurai awak panjaluk, ngidini panyerang bisa nyebabake kebanjiran buffer kanthi ngirim panjaluk sing digawe khusus. Ora ana bukti eksploitasi sing durung dingerteni, nanging masalah kasebut bisa nyebabake eksekusi kode kasebut ing server.
- CVE-2021-44224 - SSRF (Server Side Request Forgery) kerentanan ing mod_proxy, sing ngidini, ing konfigurasi karo setelan "ProxyRequests on", liwat panjalukan kanggo URI sing dirancang khusus, kanggo entuk pangalihan panyuwunan menyang pawang liyane kanthi cara sing padha. server sing nampa sambungan liwat Unix Domain Socket. Masalah kasebut uga bisa digunakake kanggo nyebabake kacilakan kanthi nggawe kahanan kanggo dereference pointer null. Masalah kasebut mengaruhi versi Apache httpd wiwit saka versi 2.4.7.
Owah-owahan non-keamanan sing paling penting yaiku:
- Nambahake dhukungan kanggo bangunan karo perpustakaan OpenSSL 3 menyang mod_ssl.
- Deteksi perpustakaan OpenSSL sing luwih apik ing skrip autoconf.
- Ing mod_proxy, kanggo protokol tunneling, bisa mateni redirection sambungan TCP setengah cedhak kanthi nyetel parameter "SetEnv proxy-nohalfclose".
- Nambahake pemeriksaan tambahan yen URI ora dimaksudake kanggo proxy ngemot skema http/https, lan sing dimaksudake kanggo proxy ngemot jeneng host.
- mod_proxy_connect lan mod_proxy ora ngidini kode status diganti sawise dikirim menyang klien.
- Nalika ngirim respon penengah sawise nampa panjalukan nganggo header "Nyana: 100-Terus", priksa manawa asil nuduhake status "100 Terusake" tinimbang status panjalukan saiki.
- mod_dav nambahake dhukungan kanggo ekstensi CalDAV, sing mbutuhake unsur dokumen lan unsur properti sing kudu digatekake nalika nggawe properti. Nambahake fungsi anyar dav_validate_root_ns (), dav_find_child_ns (), dav_find_next_ns (), dav_find_attr_ns () lan dav_find_attr (), sing bisa diarani saka modul liyane.
- Ing mpm_event, masalah kanggo mungkasi proses anak nganggur sawise mundhak ing beban server wis ditanggulangi.
- Mod_http2 nduwe owah-owahan regresi tetep sing nyebabake prilaku sing salah nalika nangani watesan MaxRequestsPerChild lan MaxConnectionsPerChild.
- Kapabilitas modul mod_md, sing digunakake kanggo ngotomatisasi panrimo lan pangopènan sertifikat nggunakake protokol ACME (Automatic Certificate Management Environment), wis ditambahi:
- Dhukungan tambahan kanggo mekanisme ACME External Account Binding (EAB), diaktifake nggunakake arahan MDExternalAccountBinding. Nilai kanggo EAB bisa dikonfigurasi saka file JSON eksternal, supaya ora mbukak parameter otentikasi ing file konfigurasi server utama.
- Arahan 'MDCertificateAuthority' njamin yen parameter URL ngemot http/https utawa salah siji saka jeneng sing wis ditemtokake ('LetsEncrypt', 'LetsEncrypt-Test', 'Buypass' lan 'Buypass-Test').
- Diijini kanggo nemtokake arahan MDContactEmail ing bagean kasebut .
- Sawetara kewan omo wis didandani, kalebu bocor memori sing kedadeyan nalika mbukak kunci pribadi gagal.
Source: opennet.ru