ការចេញផ្សាយម៉ាស៊ីនមេ Apache 2.4.46 http ជាមួយនឹងភាពងាយរងគ្រោះត្រូវបានជួសជុល

បោះពុម្ពផ្សាយ ការចេញផ្សាយម៉ាស៊ីនមេ Apache HTTP 2.4.46 (ការចេញផ្សាយ 2.4.44 និង 2.4.45 ត្រូវបានរំលង) ដែលបានណែនាំ 17 ការផ្លាស់ប្តូរ និង​បាន​លុប​បំបាត់​ 3 ភាពងាយរងគ្រោះ:

• CVE-2020-11984 — ការផ្ទុកលើសចំណុះនៅក្នុងម៉ូឌុល mod_proxy_uwsgi ដែលអាចនាំទៅដល់ការលេចធ្លាយព័ត៌មាន ឬដំណើរការកូដនៅលើម៉ាស៊ីនមេ នៅពេលផ្ញើសំណើដែលបានបង្កើតជាពិសេស។ ភាពងាយរងគ្រោះត្រូវបានកេងប្រវ័ញ្ចដោយការផ្ញើបឋមកថា HTTP ដ៏វែង។ សម្រាប់ការការពារ ការទប់ស្កាត់បឋមកថាដែលវែងជាង 16K ត្រូវបានបន្ថែម (ដែនកំណត់ដែលបានកំណត់នៅក្នុងការបញ្ជាក់ពិធីការ)។
• CVE-2020-11993 — ភាពងាយរងគ្រោះនៅក្នុងម៉ូឌុល mod_http2 ដែលអនុញ្ញាតឱ្យដំណើរការគាំងនៅពេលផ្ញើសំណើជាមួយនឹងបឋមកថា HTTP/2 ដែលបានរចនាយ៉ាងពិសេស។ បញ្ហាបង្ហាញដោយខ្លួនវា នៅពេលដែលការកែកំហុស ឬការតាមដានត្រូវបានបើកនៅក្នុងម៉ូឌុល mod_http2 ហើយត្រូវបានឆ្លុះបញ្ចាំងនៅក្នុងមាតិកាអង្គចងចាំដែលខូច ដោយសារលក្ខខណ្ឌប្រណាំងនៅពេលរក្សាទុកព័ត៌មានទៅក្នុងកំណត់ហេតុ។ បញ្ហាមិនលេចឡើងនៅពេលដែល LogLevel ត្រូវបានកំណត់ទៅជា "ព័ត៌មាន" ។
• CVE-2020-9490 — ភាពងាយរងគ្រោះនៅក្នុងម៉ូឌុល mod_http2 ដែលអនុញ្ញាតឱ្យដំណើរការគាំងនៅពេលផ្ញើសំណើតាមរយៈ HTTP/2 ជាមួយនឹងតម្លៃបឋមកថា 'Cache-Digest' ដែលបានរចនាឡើងយ៉ាងពិសេស (ការគាំងកើតឡើងនៅពេលព្យាយាមធ្វើប្រតិបត្តិការ HTTP/2 PUSH នៅលើធនធាន) . ដើម្បីទប់ស្កាត់ភាពងាយរងគ្រោះ អ្នកអាចប្រើការកំណត់ "H2Push off" ។
• CVE-2020-11985 — ភាពងាយរងគ្រោះ mod_remoteip ដែលអនុញ្ញាតឱ្យអ្នកក្លែងបន្លំអាសយដ្ឋាន IP កំឡុងពេលប្រូកស៊ីដោយប្រើ mod_remoteip និង mod_rewrite ។ បញ្ហាលេចឡើងសម្រាប់ការចេញផ្សាយ 2.4.1 ដល់ 2.4.23 ប៉ុណ្ណោះ។

ការផ្លាស់ប្តូរដែលមិនមានសុវត្ថិភាពបំផុតគឺ៖

• ការគាំទ្រសម្រាប់ការបញ្ជាក់សេចក្តីព្រាងត្រូវបានដកចេញពី mod_http2 kazuho-h2-cache-digestដែលការផ្សព្វផ្សាយត្រូវបានបញ្ឈប់។
• បានផ្លាស់ប្តូរឥរិយាបថនៃការណែនាំ "LimitRequestFields" នៅក្នុង mod_http2; ការបញ្ជាក់តម្លៃ 0 ឥឡូវនេះបិទដែនកំណត់។
• mod_http2 ផ្តល់នូវដំណើរការនៃការតភ្ជាប់បឋម និងអនុវិទ្យាល័យ (មេ/អនុវិទ្យាល័យ) និងការសម្គាល់វិធីសាស្រ្តអាស្រ័យលើការប្រើប្រាស់។
• ប្រសិនបើមាតិកាបឋមកថាដែលបានកែប្រែចុងក្រោយមិនត្រឹមត្រូវត្រូវបានទទួលពីស្គ្រីប FCGI/CGI ឥឡូវនេះបឋមកថានេះត្រូវបានដកចេញជាជាងជំនួសនៅក្នុងពេលវេលាយូនីក។
• មុខងារ ap_parse_strict_length() ត្រូវ​បាន​បន្ថែម​ទៅ​កូដ​ដើម្បី​ញែក​ទំហំ​មាតិកា​យ៉ាង​តឹងរ៉ឹង។
• ProxyFCGISetEnvIf របស់ Mod_proxy_fcgi ធានាថាអថេរបរិស្ថានត្រូវបានដកចេញ ប្រសិនបើកន្សោមដែលបានផ្តល់ឱ្យត្រឡប់ False។
• បានជួសជុលលក្ខខណ្ឌការប្រណាំង និងការគាំង mod_ssl ដែលអាចកើតមាននៅពេលប្រើវិញ្ញាបនបត្រអតិថិជនដែលបានបញ្ជាក់តាមរយៈការកំណត់ SSLProxyMachineCertificateFile ។
• ការលេចធ្លាយអង្គចងចាំថេរនៅក្នុង mod_ssl ។
• mod_proxy_http2 ផ្តល់នូវការប្រើប្រាស់ប៉ារ៉ាម៉ែត្រប្រូកស៊ី "ping» នៅពេលពិនិត្យមើលមុខងារនៃការតភ្ជាប់ថ្មី ឬប្រើឡើងវិញទៅផ្នែកខាងក្រោយ។
• បានបញ្ឈប់ការភ្ជាប់ httpd ជាមួយជម្រើស "-lsystemd" នៅពេល mod_systemd ត្រូវបានបើក។
• mod_proxy_http2 ធានាថាការកំណត់ ProxyTimeout ត្រូវបានគេយកមកពិចារណានៅពេលរង់ចាំទិន្នន័យចូលតាមរយៈការតភ្ជាប់ទៅផ្នែកខាងក្រោយ។

ប្រភព: opennet.ru