Apache 2.4.58 HTTP servera izlaišana ar DoS ievainojamību novēršanu HTTP/2

Publicēts Apache HTTP servera 2.4.58 izlaidums, kurā ieviesti 33 uzlabojumi un novērstas trīs ievainojamības, no kurām divas saistītas ar iespēju īstenot DoS uzbrukumus uz sistēmām, kas izmanto HTTP/2 protokolu.

• CVE-2023-45802 — apstākļu radīšana brīvas atmiņas izsīkšanai, jo atvērsmācība notiek pēc HTTP/2 plūsmas RST paketes. Tā kā atmiņa tiek atbrīvota ne uzreiz pēc RST paketes apstrādes, bet tikai pēc savienojuma slēgšanas, uzbrucējs var ievērojami palielināt atmiņas patēriņu, nosūtot jaunus pieprasījumus un tos atsakot ar RST paketi, neizbeidzot savienojumu.
• CVE-2023-43622 — bezgalīga HTTP/2 savienojuma apstrādes kavēšanās, ja tas tika atvērts ar 0 sākotnējo slīdošā loga izmēru. Šī ievainojamība var tikt izmantota, lai organizētu atteikumu, izsmejot maksimālo pieprasījumu skaita ierobežojumu.
• CVE-2023-31122 — ievainojamība mod_macro, kas rada iespēju lasīt datus no atmiņas apgabala ārpus rezervētā bufera.

Starp izmaiņām, kas nav saistītas ar drošību:

• Mod_http2 ir pievienota WebSocket protokola atbalsts, izmantojot plūsmu HTTP/2 savienojumā (RFC 8441). Lai iespējotu WebSocket virs HTTP/2, ir piedāvāta direktīva ‘H2WebSockets on|off’.
• Mod_http2 ir pievienota direktīva ‘H2EarlyHint name value’, lai pievienotu galvenes atbildei ‘103 Early Hints’.
• Mod_http2 ir pievienota direktīva ‘H2ProxyRequests on|off’ lai pārvaldītu HTTP/2 pieprasījumu apstrādi pārsūtīšanā.
• Mod_http2 ir pievienota direktīva ‘H2MaxDataFrameLen n’ lai ierobežotu maksimāli pieļaujamo atbildes ķermeņa izmēru baitos, kas tiek nosūtīts vienā DATA kadru HTTP/2 ietvaros. Noklusējums ir 16KB.
• Atjaunināta mime.types faila, kurā paplašinājums ‘.js’ piesaistīts tips ‘text/javascript’ vietā ‘application/javascript’ un pievienoti paplašinājumi: ‘.mjs’ (ar tipu ‘text/javascript’) un ‘.opus’ (‘audio/ogg’). Pievienoti MIME tipi un paplašinājumi, ko izmanto WebAssembly.
• Modulis mod_tls (mod_ssl alternatīva Rust valodā) pārveidots, lai izmantotu bibliotēku rustls-ffi 0.9.2+.
• Moduļa mod_md ir pievienota direktīva ‘MDMatchNames all|servernames’, lai pārvaldītu MDomains atbilstību Virtuālajām viesu lapām.
• Moduļa mod_md ir pievienota direktīva ‘MDChallengeDns01Version’, lai izvēlētos ACME protokola versiju, ko izmanto verifikācijai caur DNS.
• Mod_md atļauts izmantot direktīvu MDChallengeDns01 individuāli domēniem.
• mod_dav ir pievienota direktīva 'DavBasePath', lai konfigurētu ceļu uz WebDav repozitorija sakni.
• mod_alias ir pievienota direktīva 'AliasPreservePath', kas izmantojama pilna ceļa vērtības Alias blokā Location.
• mod_alias ir pievienota direktīva 'RedirectRelative', kas atļauj pāradresāciju, izmantojot relatīvos ceļus.
• Direktīvai ErrorLogFormat ir pievienoti formāta specifikatori %{z} un %{strftime-format}.
• mod_deflate ir pievienota direktīva 'DeflateAlterETag', lai regulētu ETag izmaiņas, lietojot kompresiju.
• Veikta send_brigade_nonblocking() funkcijas veiktspējas optimizācija.
• mod_status ir nodrošināta dublikātu atslēgu 'BusyWorkers' un 'IdleWorkers' noņemšana, kā arī pievienots jauns skaitītājs 'GracefulWorkers'.

Avots: opennet.lv