ການປ່ອຍ Apache http server 2.4.43

ຈັດພີມມາ ການປ່ອຍເຄື່ອງແມ່ຂ່າຍ Apache HTTP 2.4.43 (ການປ່ອຍ 2.4.42 ຖືກຂ້າມ), ເຊິ່ງໄດ້ນໍາສະເຫນີ 34 ການປ່ຽນແປງ ແລະລົບລ້າງ 3 ຈຸດອ່ອນ:

• CVE-2020-1927: ຊ່ອງໂຫວ່ໃນ mod_rewrite ທີ່ອະນຸຍາດໃຫ້ເຊີບເວີໃຊ້ເພື່ອສົ່ງຕໍ່ຄໍາຮ້ອງຂໍໄປຍັງຊັບພະຍາກອນອື່ນ (ເປີດການປ່ຽນເສັ້ນທາງ). ບາງການຕັ້ງຄ່າ mod_rewrite ອາດຈະສົ່ງຜົນໃຫ້ຜູ້ໃຊ້ຖືກສົ່ງຕໍ່ໄປຫາການເຊື່ອມຕໍ່ອື່ນ, ເຂົ້າລະຫັດໂດຍໃຊ້ຕົວອັກສອນແຖວໃຫມ່ພາຍໃນພາລາມິເຕີທີ່ໃຊ້ໃນການປ່ຽນເສັ້ນທາງທີ່ມີຢູ່ແລ້ວ.
• CVE-2020-1934: ຊ່ອງໂຫວ່ໃນ mod_proxy_ftp. ການນໍາໃຊ້ຄ່າ uninitialized ສາມາດນໍາໄປສູ່ການຮົ່ວໄຫລຂອງຫນ່ວຍຄວາມຈໍາໃນເວລາທີ່ proxying ຮ້ອງຂໍກັບເຄື່ອງແມ່ຂ່າຍ FTP ຄວບຄຸມການໂຈມຕີ.
• ການຮົ່ວໄຫລຂອງຫນ່ວຍຄວາມຈໍາໃນ mod_ssl ທີ່ເກີດຂື້ນໃນເວລາທີ່ການຮ້ອງຂໍ OCSP chaining.

ການປ່ຽນແປງທີ່ບໍ່ແມ່ນຄວາມປອດໄພທີ່ໂດດເດັ່ນທີ່ສຸດ:

• ເພີ່ມໂມດູນໃຫມ່ mod_systemd, ເຊິ່ງສະຫນອງການເຊື່ອມໂຍງກັບຜູ້ຈັດການລະບົບ systemd. ໂມດູນອະນຸຍາດໃຫ້ທ່ານໃຊ້ httpd ໃນການບໍລິການທີ່ມີປະເພດ “Type=notify”.
• ການສະຫນັບສະຫນູນການລວບລວມຂ້າມໄດ້ຖືກເພີ່ມເຂົ້າໃນ apxs.
• ຄວາມສາມາດຂອງໂມດູນ mod_md, ພັດທະນາໂດຍໂຄງການ Let's Encrypt ເພື່ອອັດຕະໂນມັດການຮັບ ແລະຮັກສາໃບຢັ້ງຢືນໂດຍໃຊ້ໂປໂຕຄອນ ACME (Automatic Certificate Management Environment), ໄດ້ຮັບການຂະຫຍາຍ:
  • ເພີ່ມຄໍາສັ່ງ MDContactEmail, ໂດຍຜ່ານທີ່ທ່ານສາມາດລະບຸອີເມວຕິດຕໍ່ທີ່ບໍ່ຊ້ໍາກັນກັບຂໍ້ມູນຈາກຄໍາສັ່ງ ServerAdmin.
  • ສຳລັບໂຮສສະເໝືອນທັງໝົດ, ການຮອງຮັບໂປໂຕຄອນທີ່ໃຊ້ໃນເວລາເຈລະຈາຊ່ອງທາງການສື່ສານທີ່ປອດໄພ (“tls-alpn-01”) ແມ່ນໄດ້ຮັບການຢັ້ງຢືນແລ້ວ.
  • ອະນຸຍາດໃຫ້ໃຊ້ຄໍາສັ່ງ mod_md ໃນບລັອກ ແລະ .
  • ຮັບປະກັນວ່າການຕັ້ງຄ່າທີ່ຜ່ານມາຖືກຂຽນທັບເມື່ອໃຊ້ MDCChallenges ຄືນໃໝ່.
  • ເພີ່ມຄວາມສາມາດໃນການກໍາຫນົດຄ່າ url ສໍາລັບ CTlog Monitor.
  • ສໍາລັບຄໍາສັ່ງທີ່ກໍານົດໄວ້ໃນຄໍາສັ່ງ MDMessageCmd, ການໂທທີ່ມີການໂຕ້ຖຽງ "ຕິດຕັ້ງ" ແມ່ນສະຫນອງໃຫ້ໃນເວລາທີ່ການເປີດໃຊ້ໃບຢັ້ງຢືນໃຫມ່ຫຼັງຈາກການເປີດເຄື່ອງແມ່ຂ່າຍໃຫມ່ (ຕົວຢ່າງ, ມັນສາມາດຖືກນໍາໃຊ້ເພື່ອສໍາເນົາຫຼືປ່ຽນໃບຢັ້ງຢືນໃຫມ່ສໍາລັບຄໍາຮ້ອງສະຫມັກອື່ນໆ).
• mod_proxy_hcheck ເພີ່ມການສະຫນັບສະຫນູນສໍາລັບຫນ້າກາກ %{Content-Type} ໃນການສະແດງອອກ.
• ໂໝດ CookieSameSite, CookieHTTPOnly ແລະ CookieSecure ໄດ້ຖືກເພີ່ມໃສ່ mod_usertrack ເພື່ອກຳນົດຄ່າການປະມວນຜົນຄຸກກີ້ຜູ້ໃຊ້ຕິດຕາມ.
• mod_proxy_ajp ປະຕິບັດທາງເລືອກ "ລັບ" ສໍາລັບຕົວຈັດການພຣັອກຊີເພື່ອສະຫນັບສະຫນູນໂປຣໂຕຄໍການກວດສອບຄວາມຖືກຕ້ອງ AJP13 ແບບເກົ່າ.
• ເພີ່ມການຕັ້ງຄ່າສໍາລັບ OpenWRT.
• ເພີ່ມການຮອງຮັບກັບ mod_ssl ສໍາລັບການໃຊ້ກະແຈສ່ວນຕົວ ແລະໃບຢັ້ງຢືນຈາກ OpenSSL ENGINE ໂດຍການລະບຸ PKCS#11 URI ໃນ SSLCertificateFile/KeyFile.
• ປະຕິບັດການທົດສອບການນໍາໃຊ້ລະບົບການເຊື່ອມໂຍງຢ່າງຕໍ່ເນື່ອງ Travis CI.
• ການແຍກສ່ວນຫົວຂອງການໂອນເຂົ້າລະຫັດຖືກຮັດແໜ້ນ.
• mod_ssl ສະໜອງການເຈລະຈາໂປຣໂຕຄໍ TLS ທີ່ກ່ຽວຂ້ອງກັບໂຮດສະເໝືອນ (ຮອງຮັບເມື່ອສ້າງດ້ວຍ OpenSSL-1.1.1+.
• ໂດຍການນໍາໃຊ້ hashing ສໍາລັບຕາຕະລາງຄໍາສັ່ງ, restart ໃນໂຫມດ "ສະຫງ່າງາມ" ໄດ້ຖືກເລັ່ງ (ໂດຍບໍ່ມີການຂັດຂວາງການດໍາເນີນການສອບຖາມ).
• ເພີ່ມຕາຕະລາງອ່ານເທົ່ານັ້ນ r:headers_in_table, r:headers_out_table, r:err_headers_out_table, r:notes_table ແລະ r:subprocess_env_table ກັບ mod_lua. ອະນຸຍາດໃຫ້ຕາຕະລາງຖືກກໍາຫນົດຄ່າ "nil".
• ໃນ mod_authn_socache ຂອບເຂດຈໍາກັດກ່ຽວກັບຂະຫນາດຂອງເສັ້ນ cached ໄດ້ເພີ່ມຂຶ້ນຈາກ 100 ເປັນ 256.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru