Apache 2.4.46 http სერვერის გამოშვება მოწყვლადობით დაფიქსირებული

გამოქვეყნდა Apache HTTP სერვერის 2.4.46 გამოშვება (გამოშვებები 2.4.44 და 2.4.45 გამოტოვებულია), რომელმაც დაინერგა 17 ცვლილება და აღმოფხვრილი 3 დაუცველობა:

• CVE-2020-11984 — ბუფერის გადინება mod_proxy_uwsgi მოდულში, რამაც შეიძლება გამოიწვიოს ინფორმაციის გაჟონვა ან კოდის შესრულება სერვერზე სპეციალურად შემუშავებული მოთხოვნის გაგზავნისას. დაუცველობის ექსპლუატაცია ხდება ძალიან გრძელი HTTP სათაურის გაგზავნით. დაცვის მიზნით, დაემატა 16K-ზე მეტი სათაურის დაბლოკვა (ლიმიტი განსაზღვრულია პროტოკოლის სპეციფიკაციაში).
• CVE-2020-11993 — მოწყვლადობა mod_http2 მოდულში, რომელიც საშუალებას აძლევს პროცესს ავარიული იყოს სპეციალურად შექმნილი HTTP/2 სათაურით მოთხოვნის გაგზავნისას. პრობლემა იჩენს თავს, როდესაც გამართვა ან მიკვლევა ჩართულია mod_http2 მოდულში და აისახება მეხსიერების კონტენტის გაფუჭებაში, რაც გამოწვეულია ინფორმაციის ჟურნალში შენახვისას რასის გამო. პრობლემა არ ჩნდება, როდესაც LogLevel დაყენებულია „info“.
• CVE-2020-9490 — დაუცველობა mod_http2 მოდულში, რომელიც საშუალებას აძლევს პროცესს ავარიული იყოს HTTP/2-ით მოთხოვნის გაგზავნისას სპეციალურად შექმნილი „Cache-Digest“ სათაურის მნიშვნელობით (ავარია ხდება რესურსზე HTTP/2 PUSH ოპერაციის შესრულებისას) . დაუცველობის დასაბლოკად, შეგიძლიათ გამოიყენოთ "H2Push off" პარამეტრი.
• CVE-2020-11985 — mod_remoteip დაუცველობა, რომელიც საშუალებას გაძლევთ გააფუჭოთ IP მისამართები პროქსის დროს mod_remoteip და mod_rewrite გამოყენებით. პრობლემა ჩნდება მხოლოდ 2.4.1-დან 2.4.23-მდე გამოშვებებში.

ყველაზე მნიშვნელოვანი არაუსაფრთხო ცვლილებებია:

• მონახაზის სპეციფიკაციის მხარდაჭერა ამოღებულია mod_http2-დან kazuho-h2-cache-digest, რომლის დაწინაურება შეჩერებულია.
• შეიცვალა "LimitRequestFields" დირექტივის ქცევა mod_http2-ში; 0 მნიშვნელობის მითითება ახლა გამორთავს ლიმიტს.
• mod_http2 უზრუნველყოფს პირველადი და მეორადი (მასტერ/მეორადი) კავშირების დამუშავებას და მეთოდების მარკირებას გამოყენების მიხედვით.
• თუ FCGI/CGI სკრიპტიდან მიიღება არასწორი ბოლო შეცვლილი სათაური კონტენტი, ეს სათაური წაიშლება და არა ჩანაცვლება Unix-ის ეპოქის დროში.
• ap_parse_strict_length() ფუნქცია დაემატა კოდს შინაარსის ზომის მკაცრად გასაანალიზებლად.
• Mod_proxy_fcgi-ის ProxyFCGISetEnvIf უზრუნველყოფს გარემოს ცვლადების ამოღებას, თუ მოცემული გამოხატულება დააბრუნებს False-ს.
• დაფიქსირდა რასის მდგომარეობა და შესაძლო mod_ssl ავარია SSLProxyMachineCertificateFile პარამეტრით მითითებული კლიენტის სერტიფიკატის გამოყენებისას.
• დაფიქსირდა მეხსიერების გაჟონვა mod_ssl-ში.
• mod_proxy_http2 უზრუნველყოფს პროქსი პარამეტრის გამოყენებას "Ping» როდესაც ამოწმებთ ახალი ან ხელახლა გამოყენებული კავშირის ფუნქციონალურობას backend-თან.
• შეწყდა httpd-ის დაკავშირება "-lsystemd" ოფციასთან, როდესაც mod_systemd ჩართულია.
• mod_proxy_http2 უზრუნველყოფს ProxyTimeout პარამეტრის გათვალისწინებას, როდესაც ელოდება შემომავალ მონაცემებს ბექენდთან კავშირების მეშვეობით.

წყარო: opennet.ru