Apache 2.4.52 http-servera izlaišana, novēršot bufera pārspīlējumu mod_lua

Publicēta Apache HTTP servera 2.4.52 versija, kurā ir 25 izmaiņas un novērstas 2 ievainojamības:

• CVE-2021-44790 — bufera pārsniegšana mod_lua, kas izpaužas, apstrādājot pieprasījumus, kas sastāv no vairākām daļām (multipart). Ievainojamība ietekmē konfigurācijas, kurās Lua skripti aicina funkciju r:parsebody() pieprasījuma ķermeņa analīzei, un ļauj uzbrucējam sasniegt bufera pārsniegšanu, nosūtot īpaši formatētu pieprasījumu. Faktiski eksploāti pagaidām nav atklāti, taču potenciāli problēma var novest pie sava koda izpildes uz serveri.
• CVE-2021-44224 — SSRF ievainojamība (Server Side Request Forgery) mod_proxy, kas ļauj konfigurācijās ar iestatījumu „ProxyRequests on” caur konkrēti formatētu URI pieprasījumu novirzīt pieprasījumu uz citu apstrādātāju tajā pašā serverī, kas pieņem savienojumus caur Unix Domain Socket. Problēma var tikt izmantota arī, lai izraisītu avāriju, izveidojot nosacījumus nulles rādītāja dereferencēšanai. Problēma ietekmē Apache httpd versijas, sākot no 2.4.7.

Visredzamākās izmaiņas, kas nav saistītas ar drošību:

• mod_ssl ir pievienots atbalsts, lai veidotu ar OpenSSL 3 bibliotēku.
• Uzlabota OpenSSL bibliotēkas noteikšana autoconf skriptos.
• mod_proxy tunelēšanas protokoliem ir pieejama iespēja atspējot pusatvērtu (half-close) TCP savienojumu novirzīšanu, iestatot parametru „SetEnv proxy-nohalfclose”.
• Pievienoti papildu uzraudzību, lai URI, kas nav paredzēti pārsūtīšanai, saturētu http/https shēmu, bet paredzētie pārsūtīšanai saturētu viesnīcas nosaukumu.
• mod_proxy_connect un mod_proxy nedrīkst mainīt statusa kodu pēc tā nosūtīšanas klientam.
• Nosūtot starpposma atbildes pēc pieprasījumiem ar „Expect: 100-Continue” galveni, ir nodrošināti rezultāti ar stāvokli „100 Continue”, nevis pašreizējo pieprasījuma stāvokli.
• mod_dav ir pievienots atbalsts CalDAV paplašinājumiem, kurā, ģenerējot īpašību, jāņem vērā gan dokumenta elementi, gan īpašības elementi. Pievienotas jaunas funkcijas dav_validate_root_ns(), dav_find_child_ns(), dav_find_next_ns(), dav_find_attr_ns() un dav_find_attr(), kuras var izsaukt no citiem moduļiem.
• mpm_event risināta problēma ar bezdarbīgiem bērnu procesiem, kas apstājās pēc servera slodzes palielināšanās.
• mod_http2 novērstas regresīvās izmaiņas, kas noveda pie nepareizas uzvedības, apstrādājot MaxRequestsPerChild un MaxConnectionsPerChild ierobežojumus.
• Paplašinātas mod_md moduļa iespējas, kas tiek izmantots automatizētai sertifikātu iegūšanai un apsaimniekošanai, izmantojot ACME (Automatic Certificate Management Environment) protokolu:
  • Pievienota atbalsta funkcionalitāte ACME External Account Binding (EAB) mehānismam, ko iespējams aktivizēt ar MDExternalAccountBinding direktīvu. Vērtības EAB var tikt konfigurētas no ārējā JSON faila, kas ļauj neizpaust autentifikācijas parametrus galvenajā failā. servera konfigurāciju.
  • Direktīvā 'MDCertificateAuthority' nodrošināta URL http/https vai viena no iepriekš definētajiem nosaukumiem ('LetsEncrypt', 'LetsEncrypt-Test', 'Buypass' un 'Buypass-Test') pārbaude.
  • Atļauts norādīt MDContactEmail direktīvu iekšpusē sadaļā.
  • Izlabotas vairākas kļūdas, tostarp novērsta atmiņas noplūde, kas radās, ielādējot slēgto atslēgu un notikumu gadījumā.

Avots: opennet.lv