കേടുപാടുകൾ പരിഹരിച്ച അപ്പാച്ചെ 2.4.46 http സെർവർ റിലീസ്

പ്രസിദ്ധീകരിച്ചു Apache HTTP സെർവർ 2.4.46 (റിലീസുകൾ 2.4.44, 2.4.45 എന്നിവ ഒഴിവാക്കി) പുറത്തിറക്കി. 17 മാറ്റങ്ങൾ ഇല്ലാതാക്കുകയും ചെയ്തു 3 കേടുപാടുകൾ:

• CVE-2020-11984 — mod_proxy_uwsgi മൊഡ്യൂളിലെ ഒരു ബഫർ ഓവർഫ്ലോ, ഇത് പ്രത്യേകമായി തയ്യാറാക്കിയ ഒരു അഭ്യർത്ഥന അയയ്‌ക്കുമ്പോൾ സെർവറിൽ വിവരങ്ങൾ ചോരുന്നതിനോ കോഡ് എക്‌സിക്യൂഷനിലേക്കോ നയിച്ചേക്കാം. വളരെ ദൈർഘ്യമേറിയ HTTP തലക്കെട്ട് അയച്ചുകൊണ്ട് ഈ അപകടസാധ്യത പ്രയോജനപ്പെടുത്തുന്നു. സംരക്ഷണത്തിനായി, 16K-യിൽ കൂടുതൽ നീളമുള്ള തലക്കെട്ടുകൾ തടയുന്നത് ചേർത്തു (പ്രോട്ടോക്കോൾ സ്പെസിഫിക്കേഷനിൽ നിർവചിച്ചിരിക്കുന്ന ഒരു പരിധി).
• CVE-2020-11993 - mod_http2 മൊഡ്യൂളിലെ ഒരു കേടുപാടുകൾ, പ്രത്യേകം രൂപകൽപ്പന ചെയ്ത HTTP/2 ഹെഡർ ഉപയോഗിച്ച് ഒരു അഭ്യർത്ഥന അയയ്‌ക്കുമ്പോൾ പ്രക്രിയയെ ക്രാഷുചെയ്യാൻ അനുവദിക്കുന്നു. mod_http2 മൊഡ്യൂളിൽ ഡീബഗ്ഗിംഗ് അല്ലെങ്കിൽ ട്രെയ്‌സിംഗ് പ്രവർത്തനക്ഷമമാക്കുമ്പോൾ പ്രശ്‌നം സ്വയം പ്രത്യക്ഷപ്പെടുന്നു, ലോഗിലേക്ക് വിവരങ്ങൾ സംരക്ഷിക്കുമ്പോൾ ഒരു റേസ് അവസ്ഥ കാരണം മെമ്മറി ഉള്ളടക്ക അഴിമതിയിൽ ഇത് പ്രതിഫലിക്കുന്നു. LogLevel "വിവരം" ആയി സജ്ജീകരിക്കുമ്പോൾ പ്രശ്നം ദൃശ്യമാകില്ല.
• CVE-2020-9490 - പ്രത്യേകം രൂപകൽപ്പന ചെയ്ത 'കാഷെ-ഡൈജസ്റ്റ്' ഹെഡർ മൂല്യമുള്ള HTTP/2 വഴി ഒരു അഭ്യർത്ഥന അയയ്‌ക്കുമ്പോൾ ഒരു പ്രോസസ്സിനെ ക്രാഷുചെയ്യാൻ അനുവദിക്കുന്ന mod_http2 മൊഡ്യൂളിലെ ഒരു അപകടസാധ്യത (ഒരു റിസോഴ്‌സിൽ ഒരു HTTP/2 പുഷ് പ്രവർത്തനം നടത്താൻ ശ്രമിക്കുമ്പോഴാണ് ക്രാഷ് സംഭവിക്കുന്നത്) . അപകടസാധ്യത തടയാൻ, നിങ്ങൾക്ക് "H2Push off" ക്രമീകരണം ഉപയോഗിക്കാം.
• CVE-2020-11985 — mod_remoteip vulnerability, mod_remoteip, mod_rewrite എന്നിവ ഉപയോഗിച്ച് പ്രോക്സി ചെയ്യുമ്പോൾ IP വിലാസങ്ങൾ കബളിപ്പിക്കാൻ ഇത് നിങ്ങളെ അനുവദിക്കുന്നു. 2.4.1 മുതൽ 2.4.23 വരെയുള്ള റിലീസുകളിൽ മാത്രമാണ് പ്രശ്നം ദൃശ്യമാകുന്നത്.

ഏറ്റവും ശ്രദ്ധേയമായ നോൺ-സെക്യൂരിറ്റി മാറ്റങ്ങൾ ഇവയാണ്:

• mod_http2-ൽ നിന്ന് ഡ്രാഫ്റ്റ് സ്പെസിഫിക്കേഷനുള്ള പിന്തുണ നീക്കംചെയ്തു kazuho-h2-cache-digest, ആരുടെ പ്രമോഷൻ നിർത്തി.
• mod_http2-ലെ "LimitRequestFields" നിർദ്ദേശത്തിന്റെ സ്വഭാവം മാറ്റി; 0 ന്റെ മൂല്യം വ്യക്തമാക്കുന്നത് ഇപ്പോൾ പരിധിയെ പ്രവർത്തനരഹിതമാക്കുന്നു.
• mod_http2 പ്രാഥമികവും ദ്വിതീയവുമായ (മാസ്റ്റർ/സെക്കൻഡറി) കണക്ഷനുകളുടെ പ്രോസസ്സിംഗും ഉപയോഗത്തിനനുസരിച്ച് രീതികൾ അടയാളപ്പെടുത്തലും നൽകുന്നു.
• ഒരു FCGI/CGI സ്‌ക്രിപ്റ്റിൽ നിന്ന് തെറ്റായ അവസാനമായി പരിഷ്‌ക്കരിച്ച തലക്കെട്ട് ഉള്ളടക്കം ലഭിച്ചാൽ, Unix കാലഘട്ടത്തിൽ മാറ്റിസ്ഥാപിക്കുന്നതിന് പകരം ഈ തലക്കെട്ട് ഇപ്പോൾ നീക്കം ചെയ്യപ്പെടും.
• ഉള്ളടക്ക വലുപ്പം കർശനമായി പാഴ്‌സ് ചെയ്യുന്നതിന് കോഡിലേക്ക് ap_parse_strict_length() ഫംഗ്‌ഷൻ ചേർത്തിരിക്കുന്നു.
• Mod_proxy_fcgi-യുടെ ProxyFCGISetEnvIf, തന്നിരിക്കുന്ന എക്സ്പ്രഷൻ തെറ്റായി നൽകുകയാണെങ്കിൽ പരിസ്ഥിതി വേരിയബിളുകൾ നീക്കം ചെയ്യപ്പെടുമെന്ന് ഉറപ്പാക്കുന്നു.
• SSLProxyMachineCertificateFile ക്രമീകരണം വഴി വ്യക്തമാക്കിയ ക്ലയന്റ് സർട്ടിഫിക്കറ്റ് ഉപയോഗിക്കുമ്പോൾ ഒരു റേസ് അവസ്ഥയും സാധ്യമായ mod_ssl ക്രാഷും പരിഹരിച്ചു.
• mod_ssl-ൽ മെമ്മറി ലീക്ക് പരിഹരിച്ചു.
• mod_proxy_http2 പ്രോക്സി പാരാമീറ്ററിന്റെ ഉപയോഗം നൽകുന്നു "പിംഗ്» ബാക്കെൻഡിലേക്ക് പുതിയതോ വീണ്ടും ഉപയോഗിച്ചതോ ആയ കണക്ഷന്റെ പ്രവർത്തനക്ഷമത പരിശോധിക്കുമ്പോൾ.
• mod_systemd പ്രവർത്തനക്ഷമമാക്കുമ്പോൾ "-lsystemd" ഓപ്ഷൻ ഉപയോഗിച്ച് httpd ബൈൻഡിംഗ് നിർത്തി.
• ബാക്കെൻഡിലേക്കുള്ള കണക്ഷനുകൾ വഴി ഇൻകമിംഗ് ഡാറ്റയ്ക്കായി കാത്തിരിക്കുമ്പോൾ പ്രോക്സിടൈംഔട്ട് ക്രമീകരണം കണക്കിലെടുക്കുമെന്ന് mod_proxy_http2 ഉറപ്പാക്കുന്നു.

അവലംബം: opennet.ru