HTTP servera Apache 2.4.46 izlaidums (versijas 2.4.44 un 2.4.45 tika izlēgtas), kurā ir iekļauts un novērsts :
- — bufera pārpildes trūkums modulī mod_proxy_uwsgi, kas var izraisīt informācijas noplūdi vai koda izpildi serverī, nosūtot speciāli izstrādātu pieprasījumu. Trūkuma izmantošana notiek, nosūtot ļoti garu HTTP virsrakstu. Aizsardzībai ir pievienota virsrakstu bloķēšana, kas pārsniedz 16K (ierobežojums, ko nosaka protokola specifikācija).
- — trūkums modulī mod_http2, kas ļauj izraisīt procesa sabrukumu, nosūtot pieprasījumu ar speciāli noformētu HTTP/2 virsrakstu. Problēma parādās, kad aktivizēta atkļūdošana vai izsekošana modulī mod_http2, un tās izpausme ir atmiņas satura bojāšana sacensību stāvokļa dēļ, saglabājot informāciju žurnālā. Problēma neparādās, kad LogLevel ir iestatīts uz 'info'.
- — trūkums modulī mod_http2, kas ļauj izraisīt procesa sabrukumu, nosūtot caur HTTP/2 pieprasījumu ar speciāli noformētu 'Cache-Digest' vērtību (sabrukums rodas, mēģinot veikt HTTP/2 PUSH operāciju resursam). Lai bloķētu šo trūkumu, var izmantot iestatījumu 'H2Push off'.
- — trūkums mod_remoteip, kas ļauj veikt IP adreses viltošanu, izmantojot mod_remoteip un mod_rewrite. Problēma izpaužas tikai izlaidumiem no 2.4.1 līdz 2.4.23.
Visredzamākās izmaiņas, kas nav saistītas ar drošību:
- Mod_http2 atbalsts melnajai specifikācijai ir noņemts , kura virzīšana ir pārtraukta.
- Mainīta direktīvas 'LimitRequestFields' uzvedība modulī mod_http2, norādot vērtību 0, tagad tiek atslēgts ierobežojums.
- Mod_http2 tiek nodrošināta galveno un sekundāro (master/secondary) savienojumu apstrāde un metožu apzīmēšana atkarībā no izmantošanas.
- Ja tiek saņemts nepareizs Last-Modified virsraksta saturs no FCGI/CGI skripta, šis virsraksts tagad tiek dzēsts, nevis aizstāts ar_epoch (Unix epoch).
- Kodā pievienota funkcija ap_parse_strict_length(), kas nodrošina stingru satura garuma analīzi.
- Mod_proxy_fcgi modulī ProxyFCGISetEnvIf nodrošināta vides mainīgo dzēšana, ja norādītais izteiciens atgriež False.
- Novērsta sacensību stāvokļa un iespējams mod_ssl sabrukums, izmantojot klienta sertifikātu, kas norādīts ar iestatījumu SSLProxyMachineCertificateFile.
- Novērsta atmiņas noplūde mod_ssl.
- Mod_proxy_http2 nodrošina izmantošanu ar proxy parametru «» jaunā vai atkārtoti izmantotā savienojuma ar aizmuguri pārbaudei.
- Httpd vairs netiks sasaistīts ar opciju «-lsystemd», ja ir aktivizēts mod_systemd.
- Mod_proxy_http2 ir ņemta vērā ProxyTimeout iestatījums, kad tiek gaidīti ienākošie dati caur savienojumiem ar aizmuguri.
Avots: opennet.lv
