🥇അപാച്ചെ 2.4.41 http സെർവറിൻ്റെ റിലീസ് കേടുപാടുകൾ പരിഹരിച്ചു

പ്രസിദ്ധീകരിച്ചു അപ്പാച്ചെ HTTP സെർവർ 2.4.41 (റിലീസ് 2.4.40 ഒഴിവാക്കി) പുറത്തിറക്കി. 23 മാറ്റങ്ങൾ ഇല്ലാതാക്കുകയും ചെയ്തു 6 കേടുപാടുകൾ:

CVE-2019-10081 വളരെ പ്രാരംഭ ഘട്ടത്തിൽ പുഷ് അഭ്യർത്ഥനകൾ അയയ്‌ക്കുമ്പോൾ മെമ്മറി തകരാറിലായേക്കാവുന്ന ഒരു പ്രശ്‌നമാണ് mod_http2. "H2PushResource" ക്രമീകരണം ഉപയോഗിക്കുമ്പോൾ, അഭ്യർത്ഥന പ്രോസസ്സിംഗ് പൂളിൽ മെമ്മറി പുനരാലേഖനം ചെയ്യാൻ സാധിക്കും, എന്നാൽ ക്ലയന്റിൽനിന്ന് ലഭിച്ച വിവരങ്ങളെ അടിസ്ഥാനമാക്കിയല്ല എഴുതുന്ന ഡാറ്റ എന്നതിനാൽ പ്രശ്നം ഒരു ക്രാഷിലേക്ക് പരിമിതപ്പെടുത്തിയിരിക്കുന്നു;
CVE-2019-9517 - സമീപകാല എക്സ്പോഷർ പ്രഖ്യാപിച്ചു HTTP/2 നടപ്പിലാക്കലുകളിലെ DoS കേടുപാടുകൾ.
നിയന്ത്രണങ്ങളില്ലാതെ ഡാറ്റ അയയ്‌ക്കുന്നതിന് സെർവറിനായി ഒരു സ്ലൈഡിംഗ് HTTP/2 വിൻഡോ തുറക്കുന്നതിലൂടെ ആക്രമണകാരിക്ക് ഒരു പ്രോസസ്സിന് ലഭ്യമായ മെമ്മറി ഇല്ലാതാക്കാനും കനത്ത സിപിയു ലോഡ് സൃഷ്ടിക്കാനും കഴിയും, എന്നാൽ TCP വിൻഡോ അടച്ച് സൂക്ഷിക്കുക, ഡാറ്റ യഥാർത്ഥത്തിൽ സോക്കറ്റിലേക്ക് എഴുതുന്നത് തടയുന്നു;
CVE-2019-10098 - mod_rewrite-ലെ ഒരു പ്രശ്നം, മറ്റ് ഉറവിടങ്ങളിലേക്ക് അഭ്യർത്ഥനകൾ കൈമാറുന്നതിന് സെർവർ ഉപയോഗിക്കാൻ നിങ്ങളെ അനുവദിക്കുന്ന ഒരു പ്രശ്നം (റീഡയറക്ട് തുറക്കുക). ചില mod_rewrite ക്രമീകരണങ്ങൾ ഉപയോക്താവിനെ മറ്റൊരു ലിങ്കിലേക്ക് ഫോർവേഡ് ചെയ്യുന്നതിൽ കലാശിച്ചേക്കാം, നിലവിലുള്ള ഒരു റീഡയറക്‌റ്റിൽ ഉപയോഗിക്കുന്ന ഒരു പാരാമീറ്ററിനുള്ളിൽ ഒരു പുതിയ ലൈൻ പ്രതീകം ഉപയോഗിച്ച് എൻകോഡ് ചെയ്‌തേക്കാം. RegexDefaultOptions-ൽ പ്രശ്നം തടയാൻ, നിങ്ങൾക്ക് PCRE_DOTALL ഫ്ലാഗ് ഉപയോഗിക്കാം, അത് ഇപ്പോൾ സ്ഥിരസ്ഥിതിയായി സജ്ജീകരിച്ചിരിക്കുന്നു;
CVE-2019-10092 - mod_proxy പ്രദർശിപ്പിക്കുന്ന പിശക് പേജുകളിൽ ക്രോസ്-സൈറ്റ് സ്ക്രിപ്റ്റിംഗ് നടത്താനുള്ള കഴിവ്. ഈ പേജുകളിൽ, ലിങ്കിൽ അഭ്യർത്ഥനയിൽ നിന്ന് ലഭിച്ച URL അടങ്ങിയിരിക്കുന്നു, അതിൽ ഒരു ആക്രമണകാരിക്ക് ക്യാരക്ടർ എസ്കേപ്പിംഗ് വഴി അനിയന്ത്രിതമായ HTML കോഡ് ചേർക്കാൻ കഴിയും;
CVE-2019-10097 — mod_remoteip-ലെ സ്റ്റാക്ക് ഓവർഫ്ലോയും NULL പോയിന്റർ ഡെറഫറൻസും, പ്രോക്സി പ്രോട്ടോക്കോൾ ഹെഡറിന്റെ കൃത്രിമത്വത്തിലൂടെ ഉപയോഗപ്പെടുത്തുന്നു. ക്രമീകരണങ്ങളിൽ ഉപയോഗിച്ചിരിക്കുന്ന പ്രോക്സി സെർവറിന്റെ വശത്ത് നിന്ന് മാത്രമേ ആക്രമണം നടത്താൻ കഴിയൂ, ഒരു ക്ലയന്റ് അഭ്യർത്ഥനയിലൂടെയല്ല;
CVE-2019-10082 - mod_http2-ലെ ഒരു അപകടസാധ്യത, കണക്ഷൻ അവസാനിപ്പിക്കുന്ന നിമിഷത്തിൽ, ഇതിനകം സ്വതന്ത്രമാക്കിയ മെമ്മറി ഏരിയയിൽ നിന്ന് (വായന-ശേഷം-സൗജന്യമായി) ഉള്ളടക്കങ്ങളുടെ വായന ആരംഭിക്കാൻ അനുവദിക്കുന്നു.

ഏറ്റവും ശ്രദ്ധേയമായ നോൺ-സെക്യൂരിറ്റി മാറ്റങ്ങൾ ഇവയാണ്:

mod_proxy_balancer വിശ്വസ്തരായ സമപ്രായക്കാരിൽ നിന്നുള്ള XSS/XSRF ആക്രമണങ്ങൾക്കെതിരെ മെച്ചപ്പെട്ട പരിരക്ഷയുണ്ട്;
സെഷൻ/കുക്കി കാലഹരണപ്പെടൽ സമയം അപ്ഡേറ്റ് ചെയ്യുന്നതിനുള്ള ഇടവേള നിർണ്ണയിക്കാൻ mod_session-ലേക്ക് ഒരു SessionExpiryUpdateInterval ക്രമീകരണം ചേർത്തു;
പിശകുകളുള്ള പേജുകൾ വൃത്തിയാക്കി, ഈ പേജുകളിലെ അഭ്യർത്ഥനകളിൽ നിന്നുള്ള വിവരങ്ങളുടെ പ്രദർശനം ഇല്ലാതാക്കാൻ ലക്ഷ്യമിടുന്നു;
mod_http2 "LimitRequestFieldSize" എന്ന പാരാമീറ്ററിന്റെ മൂല്യം കണക്കിലെടുക്കുന്നു, മുമ്പ് HTTP/1.1 ഹെഡർ ഫീൽഡുകൾ പരിശോധിക്കുന്നതിന് മാത്രമേ സാധുത ഉണ്ടായിരുന്നുള്ളൂ;
BalancerMember-ൽ ഉപയോഗിക്കുമ്പോൾ mod_proxy_hcheck കോൺഫിഗറേഷൻ സൃഷ്ടിക്കപ്പെടുന്നുവെന്ന് ഉറപ്പാക്കുന്നു;
ഒരു വലിയ ശേഖരത്തിൽ PROPFIND കമാൻഡ് ഉപയോഗിക്കുമ്പോൾ mod_dav-ൽ മെമ്മറി ഉപഭോഗം കുറയുന്നു;
mod_proxy, mod_ssl എന്നിവയിൽ, പ്രോക്സി ബ്ലോക്കിനുള്ളിലെ സർട്ടിഫിക്കറ്റും SSL ക്രമീകരണങ്ങളും വ്യക്തമാക്കുന്നതിലെ പ്രശ്നങ്ങൾ പരിഹരിച്ചു;
എല്ലാ പ്രോക്സി മൊഡ്യൂളുകളിലും SSLProxyCheckPeer* ക്രമീകരണങ്ങൾ പ്രയോഗിക്കാൻ mod_proxy അനുവദിക്കുന്നു;
മൊഡ്യൂൾ കഴിവുകൾ വിപുലീകരിച്ചു mod_md, വികസിപ്പിച്ചെടുത്തു ACME (ഓട്ടോമാറ്റിക് സർട്ടിഫിക്കറ്റ് മാനേജ്മെന്റ് എൻവയോൺമെന്റ്) പ്രോട്ടോക്കോൾ ഉപയോഗിച്ച് സർട്ടിഫിക്കറ്റുകളുടെ രസീതുകളും പരിപാലനവും ഓട്ടോമേറ്റ് ചെയ്യുന്നതിനുള്ള പ്രോജക്റ്റ് എൻക്രിപ്റ്റ് ചെയ്യാം:
- പ്രോട്ടോക്കോളിന്റെ രണ്ടാം പതിപ്പ് ചേർത്തു ACMEv2, ഇപ്പോൾ ഡിഫോൾട്ട് ആയതും ഉപയോഗിക്കുന്നു GET-ന് പകരം ശൂന്യമായ POST അഭ്യർത്ഥനകൾ.
- HTTP/01-ൽ ഉപയോഗിക്കുന്ന TLS-ALPN-7301 എക്സ്റ്റൻഷൻ (RFC 2, ആപ്ലിക്കേഷൻ-ലെയർ പ്രോട്ടോക്കോൾ നെഗോഷ്യേഷൻ) അടിസ്ഥാനമാക്കിയുള്ള സ്ഥിരീകരണത്തിനുള്ള പിന്തുണ ചേർത്തു.
- 'tls-sni-01' പരിശോധനാ രീതിക്കുള്ള പിന്തുണ നിർത്തലാക്കി (കാരണം പരാധീനതകൾ).
- 'dns-01' രീതി ഉപയോഗിച്ച് ചെക്ക് സജ്ജീകരിക്കുന്നതിനും തകർക്കുന്നതിനുമുള്ള കമാൻഡുകൾ ചേർത്തു.
- പിന്തുണ ചേർത്തു മുഖംമൂടികൾ ഡിഎൻഎസ് അടിസ്ഥാനമാക്കിയുള്ള പരിശോധന പ്രവർത്തനക്ഷമമാക്കുമ്പോൾ സർട്ടിഫിക്കറ്റുകളിൽ ('dns-01').
- 'md-status' ഹാൻഡ്‌ലറും സർട്ടിഫിക്കറ്റ് സ്റ്റാറ്റസ് പേജും 'https://domain/.httpd/certificate-status' നടപ്പിലാക്കി.
- സ്റ്റാറ്റിക് ഫയലുകൾ വഴി ഡൊമെയ്ൻ പാരാമീറ്ററുകൾ കോൺഫിഗർ ചെയ്യുന്നതിനുള്ള "MDCertificateFile", "MDCertificateKeyFile" നിർദ്ദേശങ്ങൾ ചേർത്തു (യാന്ത്രിക-അപ്ഡേറ്റ് പിന്തുണയില്ലാതെ).
- 'പുതുക്കിയ', 'കാലഹരണപ്പെടൽ' അല്ലെങ്കിൽ 'പിശക്' ഇവന്റുകൾ സംഭവിക്കുമ്പോൾ ബാഹ്യ കമാൻഡുകൾ വിളിക്കാൻ "MDMessageCmd" നിർദ്ദേശം ചേർത്തു.
- സർട്ടിഫിക്കറ്റ് കാലഹരണപ്പെടുന്നതിനെക്കുറിച്ചുള്ള മുന്നറിയിപ്പ് സന്ദേശം ക്രമീകരിക്കുന്നതിന് "MDWarnWindow" നിർദ്ദേശം ചേർത്തു;