취약점이 수정된 Apache 2.4.41 http 서버 출시

게시 됨 Apache HTTP 서버 2.4.41 릴리스(릴리스 2.4.40은 건너뛰었습니다) 23개 변경 그리고 제거됨 6개의 취약점:

• CVE-2019-10081 매우 초기 단계에서 푸시 요청을 보낼 때 메모리 손상을 일으킬 수 있는 mod_http2의 문제입니다. "H2PushResource" 설정을 사용하면 요청 처리 풀의 메모리를 덮어쓸 수 있지만 클라이언트에서 받은 정보를 기반으로 작성되는 데이터가 아니기 때문에 문제는 충돌로 제한됩니다.
• CVE-2019-9517 - 최근 노출 발표 HTTP/2 구현의 DoS 취약점.
  공격자는 서버가 제한 없이 데이터를 보낼 수 있도록 슬라이딩 HTTP/2 창을 열면서 프로세스에 사용 가능한 메모리를 소진하고 과도한 CPU 로드를 생성할 수 있습니다. 그러나 TCP 창은 닫힌 상태로 유지하여 데이터가 실제로 소켓에 기록되는 것을 방지합니다.

• CVE-2019-10098 - 서버를 사용하여 요청을 다른 리소스로 전달할 수 있는 mod_rewrite의 문제(오픈 리디렉션). 일부 mod_rewrite 설정으로 인해 사용자가 기존 리디렉션에 사용된 매개변수 내의 개행 문자를 사용하여 인코딩된 다른 링크로 전달될 수 있습니다. RegexDefaultOptions에서 문제를 차단하려면 이제 기본적으로 설정되는 PCRE_DOTALL 플래그를 사용할 수 있습니다.
• CVE-2019-10092 - mod_proxy에 의해 표시되는 오류 페이지에서 크로스 사이트 스크립팅을 수행하는 기능. 이러한 페이지의 링크에는 공격자가 문자 이스케이프를 통해 임의의 HTML 코드를 삽입할 수 있는 요청에서 얻은 URL이 포함되어 있습니다.
• CVE-2019-10097 — PROXY 프로토콜 헤더 조작을 통해 악용되는 mod_remoteip의 스택 오버플로 및 NULL 포인터 역참조. 공격은 설정에 사용된 프록시 서버 측에서만 수행될 수 있으며 클라이언트 요청을 통해서는 수행될 수 없습니다.
• CVE-2019-10082 - 연결이 종료되는 순간 이미 해제된 메모리 영역에서 콘텐츠 읽기를 시작할 수 있는 mod_http2의 취약점(read-after-free).

가장 주목할만한 비보안 변경 사항은 다음과 같습니다.

• mod_proxy_balancer는 신뢰할 수 있는 피어의 XSS/XSRF 공격에 대한 보호 기능을 향상했습니다.
• 세션/쿠키 만료 시간 업데이트 간격을 결정하기 위해 SessionExpiryUpdateInterval 설정이 mod_session에 추가되었습니다.
• 오류가 있는 페이지는 해당 페이지의 요청에서 정보 표시를 제거하기 위해 정리되었습니다.
• mod_http2는 이전에 HTTP/1.1 헤더 필드를 확인하는 데만 유효했던 "LimitRequestFieldSize" 매개변수의 값을 고려합니다.
• BalancerMember에서 사용될 때 mod_proxy_hcheck 구성이 생성되는지 확인합니다.
• 대규모 컬렉션에서 PROPFIND 명령을 사용할 때 mod_dav의 메모리 소비가 감소했습니다.
• mod_proxy 및 mod_ssl에서 프록시 블록 내부의 인증서 및 SSL 설정 지정과 관련된 문제가 해결되었습니다.
• mod_proxy를 사용하면 SSLProxyCheckPeer* 설정을 모든 프록시 모듈에 적용할 수 있습니다.
• 모듈 기능 확장 mod_md, 에 의해 개발 된 ACME(자동 인증서 관리 환경) 프로토콜을 사용하여 인증서 수신 및 유지 관리를 자동화하는 Let's Encrypt 프로젝트:
  • 프로토콜의 두 번째 버전이 추가되었습니다. ACMEv2, 이는 이제 기본값이며 использует GET 대신 빈 POST 요청.
  • HTTP/01에서 사용되는 TLS-ALPN-7301 확장(RFC 2, 애플리케이션 계층 프로토콜 협상)을 기반으로 검증에 대한 지원이 추가되었습니다.
  • 'tls-sni-01' 확인 방법에 대한 지원이 중단되었습니다. 취약점).
  • 'dns-01' 방법을 사용하여 검사를 설정하고 중단하기 위한 명령이 추가되었습니다.
  • 추가 지원 마스크 DNS 기반 확인이 활성화된 경우 인증서('dns-01').
  • 'md-status' 처리기와 인증서 상태 페이지 'https://domain/.httpd/certificate-status'를 구현했습니다.
  • 정적 파일을 통해 도메인 매개변수를 구성하기 위한 "MDCertificateFile" 및 "MDCertificateKeyFile" 지시문을 추가했습니다(자동 업데이트 지원 없음).
  • '갱신', '만료' 또는 '오류' 이벤트가 발생할 때 외부 명령을 호출하기 위한 "MDMessageCmd" 지시문을 추가했습니다.
  • 인증서 만료에 대한 경고 메시지를 구성하기 위해 "MDWarnWindow" 지시문을 추가했습니다.

출처 : opennet.ru