Apache 2.4.41 HTTP server atjauninājums ar drošības trūkumiem novēršanu

Publicēts Apache 2.4.41 HTTP servera izlaišana (2.4.40 izlaidums tika izlaists), kurā ir prezentēts 23 izmaiņas un novērsts 6 drošības trūkumu:

• CVE-2019-10081 — problēma mod_http2, kas var izraisīt atmiņas bojājumus, nosūtot push pieprasījumus ļoti agrīnā posmā. Izmantojot iestatījumu 'H2PushResource', ir iespējams pārrakstīt atmiņas zonu pieprasījumu apstrādes pūlā, taču problēma ir ierobežota līdz avārijai, jo ierakstītie dati nav balstīti uz informāciju, ko saņem klients;
• CVE-2019-9517 — nesen atklāta paziņotā DoS drošības trūkums HTTP/2 ieviešanā.
  Uzbrucējs var izsmelt pieejamo procesa atmiņu un radīt lielu slodzi uz CPU, atverot HTTP/2 slīdošo logu serverim datu nosūtīšanai bez ierobežojumiem, bet vienlaikus turēt TCP logu slēgtu, kas neļauj faktiski ierakstīt datus soketā;
• CVE-2019-10098 — problēma mod_rewrite, kas ļauj serverim pārsūtīt pieprasījumus uz citiem resursiem (open redirect). Daži mod_rewrite iestatījumi var novest pie lietotāja pārsūtīšanas uz citu saiti, kas ir kodēta ar jaunā līnijas simbolu parametrā, ko izmanto esošajā pāradresēšanā. Lai novērstu problēmu, RegexDefaultOptions var izmantot PCRE_DOTALL karodziņu, kas tagad ir iestatīts kā noklusējums;
• CVE-2019-10092 — starpdomēnu skriptu ļaunprātīgas izmantošanas iespēja kļūdas lapās, ko izvada mod_proxy. Šajās lapās saite tiek aizvietota ar pieprasījumā saņemto URL, kur uzbrucējs var ar simbolu bēgšanu ievietot jebkuru HTML kodu;
• CVE-2019-10097 — steka pārblīvēšana un NULL rādītāja atpakaļpagriezšana mod_remoteip, ko var izmantot, manipulējot ar PROXY protokola galveni. Uzbrukumu var veikt tikai no pusēm, kas tiek izmantotas proxy servera iestatījumos, nevis no klienta pieprasījuma;
• CVE-2019-10082 — drošības trūkums mod_http2, kas ļauj savienošanas beigās iniciēt satura lasīšanu no jau atbrīvotas atmiņas zonas (read-after-free).

Visredzamākās izmaiņas, kas nav saistītas ar drošību:

• mod_proxy_balancer ir uzlabota aizsardzība pret XSS/XSRF uzbrukumiem no uzticamām mezgliem;
• mod_session ir pievienota SessionExpiryUpdateInterval iestatījums, lai noteiktu sesijas/cookie dzīvotspējas atjaunināšanas intervālu;
• Veikti lapu tīrīšana ar kļūdām, kura mērķis ir novērst informācijas parādīšanos šajās lapās no pieprasījumiem;
• mod_http2 nodrošina parametrs «LimitRequestFieldSize», kas iepriekš darbojās tikai, lai pārbaudītu HTTP/1.1 galvenes laukus;
• Tika izveidota mod_proxy_hcheck konfigurācija tā izmantošanai BalancerMember;
• Samazināta atmiņas patēriņš mod_dav, izmantojot PROPFIND komandu lielā kolekcijā;
• mod_proxy un mod_ssl atrisinātas problēmas ar sertifikātu un SSL iestatījumu norādīšanu Proxy blokā;
• mod_proxy atļauts izmantot SSLProxyCheckPeer* iestatījumus visiem starpniekservera moduļiem;
• Moduļa iespējas ir paplašinātas mod_md, izstrādāta projekta Let’s Encrypt automatizētai sertifikātu iegūšanai un apkalpošanai, izmantojot ACME (Automātiskā Sertifikātu Pārvaldības Vide):
  • Pievienota otrā protokola versija ACMEv2, kas tagad tiek izmantota pēc noklusējuma un izmanto tukšas POST pieprasījumi vietā GET.
  • Pievienota atbalsts TLS-ALPN-01 paplašinājumam (RFC 7301, Lietojumprogrammu protokolu sarunas), ko izmanto HTTP/2.
  • Atbalsts metodēm ‘tls-sni-01’ pārbaudei ir pārtraukts (dēļ vulnerabilities).
  • Pievienotas komandas DNS-01 metodes pārbaudes iestatīšanai un pārtraukšanai.
  • Pievienota atbalsta iespēja maskas sertifikātos, ieslēdzot DNS balstītu pārbaudi (‘dns-01’).
  • Tika izstrādāts ‘md-status’ apstrādātājs un lapa ar sertifikāta statusu «https://domain/.httpd/certificate-status».
  • Pievienotas direktīvas «MDCertificateFile» un «MDCertificateKeyFile» domena iestatījumu konfigurācijai, izmantojot statiskos failus (bez autoatjaunošanas atbalsta).
  • Pievienota direktīva «MDMessageCmd» ārēju komandu izsaukšanai notikumu ‘renewed’, ‘expiring’ vai ‘errored’ gadījumā.
  • Pievienota direktīva «MDWarnWindow» brīdinājuma ziņojuma iestatīšanai par sertifikāta derīguma termiņa beigu tuvošanos;

Avots: opennet.lv