Apache 2.4.46 http tuku tūmau me nga whakaraerae kua whakaritea

whakaputaina te tukunga o te Apache HTTP server 2.4.46 (nga tukunga 2.4.44 me te 2.4.45 i pekehia), i whakaurua 17 huringa ka whakakorea 3 whakaraeraetanga:

  • CVE-2020-11984 — he putunga putunga i roto i te kōwae mod_proxy_uwsgi, tera pea ka paheke nga korero, te mahi waehere ranei i runga i te tūmau i te wa e tukuna ana he tono i hangaia. Ka whakamahia te whakaraeraetanga ma te tuku i te pane HTTP tino roa. Mo te whakamarumaru, kua taapirihia te aukati o nga pane kia roa ake i te 16K (he tepenga kua tautuhia i roto i te whakaritenga kawa).
  • CVE-2020-11993 — he whakaraeraetanga i roto i te kōwae mod_http2 e taea ai te tukinga o te tukanga i te tuku tono me te pane pane HTTP/2 i hangaia. Ka puta te raru i te wa e whakahohea ana te patuiro, te whaiwhai ranei i roto i te kōwae mod_http2, ka kitea i roto i te pirau o te mahara na te ahuatanga o te iwi i te wa e penapena ana nga korero ki te raarangi. Karekau te raru e puta mai i te wa e whakatauhia ana a LogLevel ki te “info”.
  • CVE-2020-9490 — he whakaraeraetanga i roto i te kōwae mod_http2 e taea ai te tukinga o te tukanga ina tuku tono ma te HTTP/2 me te uara pane pane 'Cache-Digest' i hangaia (ka puta te tukinga i te wa e ngana ana ki te mahi HTTP/2 PUSH i runga i tetahi rauemi) . Hei aukati i te whakaraeraetanga, ka taea e koe te whakamahi i te tautuhinga "H2Push off".
  • CVE-2020-11985 — te whakaraeraetanga mod_remoteip, ka taea e koe te tinihanga i nga wahitau IP i te wa e takawaenga ana ma te whakamahi i te mod_remoteip me te mod_rewrite. Ka puta noa te raru mo nga putanga 2.4.1 ki te 2.4.23.

Ko nga huringa kore-haumaru tino rongonui ko:

  • Ko te tautoko mo te tauira tauira kua tangohia mai i te mod_http2 kazuho-h2-cache-digest, kua mutu tana whakatairanga.
  • Ko te whakarereke i te whanonga o te "LimitRequestFields" i roto i te mod_http2 ka whakakorehia te tepe.
  • Ko te mod_http2 e whakarato ana i te tukatuka o nga hononga tuatahi me te tuarua (te rangatira / tuarua) me te tohu o nga tikanga i runga i te whakamahinga.
  • Ki te he te whiwhi ihirangi pane Whakamuri-Whakahurihia mai i te tuhinga FCGI/CGI, kua tangohia tenei pane, kaua ki te whakakapi i te wa Unix epoch.
  • Ko te mahi ap_parse_strict_length() kua taapirihia ki te waehere hei whakamaarama i te rahi o te ihirangi.
  • Ko te ProxyFCGISetEnvIf a Mod_proxy_fcgi ka whakarite kia tangohia nga taurangi taiao mena ka hoki mai te korero i te Heke.
  • Kua whakatikahia te ahuatanga o te iwi me te tukinga mod_ssl i te wa e whakamahi ana i te tiwhikete kiritaki kua tohua ma te tautuhinga SSLProxyMachineCertificateFile.
  • Kua rewa te mahara i roto i te mod_ssl.
  • Ko te mod_proxy_http2 te whakamahi i te tawhā takawaenga "ping» i te wa e tirotirohia ana te mahi o tetahi hononga hou, kua whakamahia ano ranei ki te pito o muri.
  • Ka mutu te herenga httpd me te "-lsystemd" i te wa e whakahohea ana te mod_systemd.
  • Ko te mod_proxy_http2 ka whakarite kia whai whakaarotia te tautuhinga TakawaengaWaitu i te wa e tatari ana mo nga raraunga taumai ma nga hononga ki te tuara.

Source: opennet.ru

Tāpiri i te kōrero