Apache HTTP серверінің 2.4.46 шығарылымы (2.4.44 және 2.4.45 шығарылымдары өткізіп жіберілді), ол енгізілген және жойылды :
- — mod_proxy_uwsgi модуліндегі буфердің толып кетуі, бұл ақпараттың ағып кетуіне немесе арнайы жасалған сұранысты жіберу кезінде серверде кодтың орындалуына әкелуі мүмкін. Осалдық өте ұзын HTTP тақырыбын жіберу арқылы пайдаланылады. Қорғау үшін 16K-тан ұзын тақырыптарды блоктау қосылды (шектеу хаттама спецификациясында анықталған).
- — арнайы әзірленген HTTP/2 тақырыбымен сұрау жіберу кезінде процестің бұзылуына мүмкіндік беретін mod_http2 модуліндегі осалдық. Мәселе mod_http2 модулінде жөндеу немесе бақылау қосылғанда көрінеді және ақпаратты журналға сақтау кезінде жарыс жағдайына байланысты жад мазмұнының бүлінуінде көрінеді. LogLevel «ақпарат» күйіне орнатылғанда мәселе пайда болмайды.
- — арнайы әзірленген «Кэш-Дайджест» тақырыбының мәні бар HTTP/2 арқылы сұрау жіберу кезінде процестің бұзылуына мүмкіндік беретін mod_http2 модуліндегі осалдық (жаңалық ресурста HTTP/2 PUSH әрекетін орындау әрекеті кезінде орын алады) . Осалдықты блоктау үшін «H2Push off» параметрін пайдалануға болады.
- — mod_remoteip осалдығы, ол mod_remoteip және mod_rewrite көмегімен прокси-серверлеу кезінде IP мекенжайларын бұрмалауға мүмкіндік береді. Мәселе тек 2.4.1 - 2.4.23 шығарылымдарында пайда болады.
Қауіпсіздікке жатпайтын ең маңызды өзгерістер:
- Жоба спецификациясына қолдау mod_http2 ішінен жойылды , жарнамасы тоқтатылған.
- mod_http2 ішіндегі "LimitRequestFields" директивасының әрекеті өзгертілді, енді 0 мәнін көрсету шектеуді өшіреді;
- mod_http2 негізгі және қосымша (негізгі/екінші) қосылымдарды өңдеуді және қолдануға байланысты әдістерді белгілеуді қамтамасыз етеді.
- FCGI/CGI сценарийінен қате Соңғы өзгертілген тақырып мазмұны алынса, бұл тақырып Unix дәуірінде ауыстырылғанның орнына енді жойылады.
- Мазмұн өлшемін қатаң талдау үшін кодқа ap_parse_strict_length() функциясы қосылды.
- Mod_proxy_fcgi ProxyFCGISetEnvIf берілген өрнек False мәнін қайтарса, орта айнымалы мәндерінің жойылуын қамтамасыз етеді.
- SSLProxyMachineCertificateFile параметрі арқылы көрсетілген клиент сертификатын пайдалану кезінде жарыс шарты және ықтимал mod_ssl бұзылуы түзетілді.
- mod_ssl ішіндегі жадтың ағуы түзетілді.
- mod_proxy_http2 прокси параметрін пайдалануды қамтамасыз етеді "» серверге жаңа немесе қайта пайдаланылған қосылымның функционалдығын тексеру кезінде.
- mod_systemd қосылған кезде httpd файлын "-lsystemd" опциясымен байланыстыру тоқтатылды.
- mod_proxy_http2 серверге қосылымдар арқылы кіріс деректерді күту кезінде ProxyTimeout параметрінің есепке алынуын қамтамасыз етеді.
Ақпарат көзі: opennet.ru