Apache 2.4.41 http tuku tūmau me nga whakaraerae kua whakaritea

whakaputaina te tukunga o te Apache HTTP server 2.4.41 (i pekehia te tuku 2.4.40), i whakaurua 23 huringa ka whakakorea 6 whakaraeraetanga:

• CVE-2019-10081 he take kei roto i te mod_http2 ka paheke te mahara i te wa e tukuna ana nga tono pana i te wa tuatahi. I te wa e whakamahi ana i te tautuhinga "H2PushResource", ka taea te tuhi i te mahara ki roto i te puna tukatuka tono, engari he iti noa te raruraru ki te tukinga na te mea kaore nga raraunga e tuhia ana i runga i nga korero i whakawhiwhia mai i te kiritaki;
• CVE-2019-9517 - te whakaaturanga tata panuitia Nga whakaraeraetanga DoS i roto i nga whakatinanatanga HTTP/2.
  Ka taea e te kaitukino te whakapau i te mahara e waatea ana ki tetahi tukanga me te hanga i te utaina PTM taumaha ma te whakatuwhera i te matapihi reti HTTP/2 mo te tūmau ki te tuku raraunga kaore he here, engari ka kati te matapihi TCP, kia kore ai e tuhia nga raraunga ki te turanga;
• CVE-2019-10098 - he raruraru i roto i te mod_rewrite, e taea ai e koe te whakamahi i te tūmau ki te tuku tono ki etahi atu rauemi (tuwhera anga whakamua). Ko etahi tautuhinga mod_rewrite pea ka tukuna te kaiwhakamahi ki tetahi atu hono, ka whakawaeheretia ma te whakamahi i tetahi tohu raina hou i roto i te tawhā whakamahia i roto i te anga whakamua. Hei aukati i te raru i RegexDefaultOptions, ka taea e koe te whakamahi i te haki PCRE_DOTALL, kua tautuhia inaianei ma te taunoa;
• CVE-2019-10092 - te kaha ki te mahi i te tuhi tuhi-paepae i runga i nga wharangi hapa e whakaatuhia ana e mod_proxy. I runga i enei wharangi, kei roto i te hono te URL i whiwhi mai i te tono, ka taea e te kaitawhai te whakauru i te waehere HTML noho noa ma te mawhiti o te tangata;
• CVE-2019-10097 — te puhake puhake me te tohu tohu NULL i roto i te mod_remoteip, i whakamahia ma te raweke i te pane kawa PROXY. Ka taea anake te whakaeke mai i te taha o te tūmau takawaenga e whakamahia ana i roto i nga tautuhinga, kaore i te tono a te kiritaki;
• CVE-2019-10082 - he whakaraeraetanga i roto i te mod_http2 e taea ai, i te wa ka mutu te hononga, ki te timata i te panui o nga ihirangi mai i te waahi mahara kua wetekina (panui-a muri-kore).

Ko nga huringa kore-haumaru tino rongonui ko:

• Ko te mod_proxy_balancer kua pai ake te whakamarumaru ki nga whakaeke XSS/XSRF mai i nga hoa whakawhirinaki;
• Kua taapirihia he tautuhinga SessionExpiryUpdateInterval ki te mod_session hei whakatau i te waahi mo te whakahou i te wa paunga o te hui/pihikete;
• Ko nga wharangi me nga hapa i horoia, e whai ana ki te whakakore i te whakaaturanga o nga korero mai i nga tono i runga i enei wharangi;
• Ko te mod_http2 e whai whakaaro ana ki te uara o te tawhā "LimitRequestFieldSize", i whai mana anake mo te tirotiro i nga mara pane HTTP/1.1;
• Ka whakarite kia hangahia te whirihoranga mod_proxy_hcheck ina whakamahia ana ki BalancerMember;
• He iti ake te kai mahara i roto i te mod_dav i te wa e whakamahi ana i te whakahau PROPFIND i runga i te kohinga nui;
• I roto i te mod_proxy me te mod_ssl, kua whakatauhia nga raruraru me te tohu tiwhikete me nga tautuhinga SSL i roto i te poraka Takawaenga;
• Ka taea e te mod_proxy te whakamahi i nga tautuhinga SSLProxyCheckPeer* ki nga waahanga takawaenga katoa;
• Kua whakawhānuihia nga kaha o te waahanga mod_md, whakawhanakehia Kia Whakamuna te kaupapa hei whakaaunoa i te whiwhinga me te tiaki i nga tiwhikete ma te whakamahi i te kawa ACME (Taiao Whakahaere Tiwhikete Aunoa):
  • Kua taapirihia te putanga tuarua o te kawa ACMEv2, koinei te taunoa me te whakamahinga nga tono POST kau, kaua ki te GET.
  • He tautoko taapiri mo te manatoko i runga i te toronga TLS-ALPN-01 (RFC 7301, Whakawhitiwhitinga Kawa-Layer), e whakamahia ana i roto i te HTTP/2.
  • Ko te tautoko mo te tikanga whakamana 'tls-sni-01' kua whakamutua (na te mea whakaraeraetanga).
  • He tono taapiri mo te whakatu me te wawahi i te haki ma te whakamahi i te tikanga 'dns-01'.
  • He tautoko taapiri kopare i roto i nga tiwhikete ka whakahohea te manatoko-a-DNS ('dns-01').
  • I whakatinanahia te kaihautu 'md-status' me te wharangi mana tiwhikete 'https://domain/.httpd/certificate-status'.
  • Kua taapirihia nga tohutohu "MDCertificateKeyFile" me te "MDCertificateKeyFile" mo te whirihora i nga tawhā rohe ma roto i nga konae pateko (kare he tautoko whakahou-aunoa).
  • Kua taapirihia he tohutohu "MDMessageCmd" ki te karanga i nga whakahau o waho ka puta nga kaupapa 'whakahou', 'ka pau', 'he hapa' ranei.
  • Kua taapirihia he tohutohu "MDWarnWindow" ki te whirihora i te karere whakatupato mo te paunga o te tiwhikete;

Source: opennet.ru