ការចេញផ្សាយម៉ាស៊ីនមេ Apache 2.4.52 http ជាមួយនឹងការជួសជុលលើសចំណុះនៅក្នុង mod_lua

ម៉ាស៊ីនមេ Apache HTTP 2.4.52 ត្រូវបានចេញផ្សាយ ដោយណែនាំការផ្លាស់ប្តូរ 25 និងលុបបំបាត់ភាពងាយរងគ្រោះចំនួន 2៖

• CVE-2021-44790 គឺជាការលើសចំណុះនៅក្នុង mod_lua ដែលកើតឡើងនៅពេលញែកសំណើពហុផ្នែក។ ភាពងាយរងគ្រោះប៉ះពាល់ដល់ការកំណត់រចនាសម្ព័ន្ធដែល Lua scripts ហៅមុខងារ r:parsebody() ដើម្បីញែកតួនៃសំណើ ដែលអនុញ្ញាតឱ្យអ្នកវាយប្រហារធ្វើឱ្យមានផ្ទុកលើសចំណុះដោយផ្ញើសំណើដែលបានបង្កើតជាពិសេស។ មិនទាន់មានភ័ស្តុតាងនៃការកេងប្រវ័ញ្ចមួយត្រូវបានគេកំណត់អត្តសញ្ញាណនៅឡើយទេ ប៉ុន្តែបញ្ហាអាចនាំទៅដល់ការប្រតិបត្តិកូដរបស់វានៅលើម៉ាស៊ីនមេ។
• CVE-2021-44224 - ភាពងាយរងគ្រោះ SSRF (Server Side Request Forgery) នៅក្នុង mod_proxy ដែលអនុញ្ញាតឱ្យកំណត់រចនាសម្ព័ន្ធជាមួយការកំណត់ "ProxyRequests on" តាមរយៈសំណើសម្រាប់ URI ដែលបានរចនាជាពិសេស ដើម្បីសម្រេចបាននូវការបញ្ជូនបន្តសំណើទៅកាន់អ្នកដោះស្រាយផ្សេងទៀតនៅលើដូចគ្នា។ ម៉ាស៊ីនមេដែលទទួលយកការតភ្ជាប់តាមរយៈរន្ធយូនីកដែន។ បញ្ហានេះក៏អាចត្រូវបានប្រើដើម្បីបង្កឱ្យគាំងដោយបង្កើតលក្ខខណ្ឌសម្រាប់ការបដិសេធទ្រនិចគ្មានន័យ។ បញ្ហានេះប៉ះពាល់ដល់កំណែ Apache httpd ដែលចាប់ផ្តើមពីកំណែ 2.4.7 ។

ការផ្លាស់ប្តូរដែលមិនមានសុវត្ថិភាពបំផុតគឺ៖

• បានបន្ថែមការគាំទ្រសម្រាប់ការកសាងជាមួយបណ្ណាល័យ OpenSSL 3 ទៅ mod_ssl ។
• ធ្វើឱ្យប្រសើរឡើងនូវការរកឃើញបណ្ណាល័យ OpenSSL នៅក្នុងស្គ្រីប autoconf ។
• នៅក្នុង mod_proxy សម្រាប់ពិធីការផ្លូវរូងក្រោមដី វាអាចបិទការបញ្ជូនបន្តនៃការតភ្ជាប់ TCP ពាក់កណ្តាលបិទដោយកំណត់ប៉ារ៉ាម៉ែត្រ "SetEnv proxy-nohalfclose" ។
• បានបន្ថែមការត្រួតពិនិត្យបន្ថែមដែល URI មិនមានបំណងសម្រាប់ប្រូកស៊ីមានគ្រោងការណ៍ http/https ហើយអ្វីដែលមានបំណងសម្រាប់ប្រូកស៊ីមានឈ្មោះម៉ាស៊ីន។
• mod_proxy_connect និង mod_proxy មិនអនុញ្ញាតឱ្យលេខកូដស្ថានភាពផ្លាស់ប្តូរបន្ទាប់ពីវាត្រូវបានផ្ញើទៅម៉ាស៊ីនភ្ញៀវ។
• នៅពេលផ្ញើការឆ្លើយតបកម្រិតមធ្យមបន្ទាប់ពីទទួលបានសំណើជាមួយនឹងបឋមកថា "រំពឹង: 100-បន្ត" សូមប្រាកដថាលទ្ធផលបង្ហាញពីស្ថានភាពនៃ "100 បន្ត" ជាជាងស្ថានភាពបច្ចុប្បន្ននៃសំណើ។
• mod_dav បន្ថែមការគាំទ្រសម្រាប់ផ្នែកបន្ថែម CalDAV ដែលទាមទារទាំងធាតុឯកសារ និងធាតុទ្រព្យសម្បត្តិដែលត្រូវយកមកពិចារណានៅពេលបង្កើតទ្រព្យសម្បត្តិ។ បានបន្ថែមមុខងារថ្មី dav_validate_root_ns(), dav_find_child_ns(), dav_find_next_ns(), dav_find_attr_ns() និង dav_find_attr() ដែលអាចហៅចេញពីម៉ូឌុលផ្សេងទៀត។
• នៅក្នុង mpm_event បញ្ហាជាមួយនឹងការបញ្ឈប់ដំណើរការកូនទំនេរបន្ទាប់ពីការកើនឡើងនៃការផ្ទុកម៉ាស៊ីនមេត្រូវបានដោះស្រាយ។
• Mod_http2 មានការផ្លាស់ប្តូរតំរែតំរង់ថេរដែលបណ្តាលឱ្យមានអាកប្បកិរិយាមិនត្រឹមត្រូវនៅពេលដោះស្រាយការរឹតបន្តឹង MaxRequestsPerChild និង MaxConnectionsPerChild ។
• សមត្ថភាពនៃម៉ូឌុល mod_md ដែលត្រូវបានប្រើដើម្បីធ្វើស្វ័យប្រវត្តិកម្មការទទួល និងការថែរក្សាវិញ្ញាបនបត្រដោយប្រើពិធីការ ACME (បរិស្ថានគ្រប់គ្រងវិញ្ញាបនប័ត្រដោយស្វ័យប្រវត្តិ) ត្រូវបានពង្រីក៖
  • បានបន្ថែមការគាំទ្រសម្រាប់យន្តការ ACME External Account Binding (EAB) ដែលបានបើកដោយប្រើការណែនាំ MDExternalAccountBinding ។ តម្លៃសម្រាប់ EAB អាចត្រូវបានកំណត់រចនាសម្ព័ន្ធពីឯកសារ JSON ខាងក្រៅ ដោយជៀសវាងការបង្ហាញប៉ារ៉ាម៉ែត្រផ្ទៀងផ្ទាត់នៅក្នុងឯកសារកំណត់រចនាសម្ព័ន្ធម៉ាស៊ីនមេ។
  • ការណែនាំ 'MDCertificateAuthority' ធានាថាប៉ារ៉ាម៉ែត្រ URL មាន http/https ឬឈ្មោះមួយក្នុងចំណោមឈ្មោះដែលបានកំណត់ជាមុន ('LetsEncrypt', 'LetsEncrypt-Test', 'Buypass' និង 'Buypass-Test') ។
  • បានអនុញ្ញាតឱ្យបញ្ជាក់ការណែនាំ MDContactEmail នៅខាងក្នុងផ្នែក .
  • កំហុសជាច្រើនត្រូវបានជួសជុល រួមទាំងការលេចធ្លាយអង្គចងចាំដែលកើតឡើងនៅពេលការផ្ទុកសោឯកជនបរាជ័យ។

ប្រភព: opennet.ru