mod_lua-ൽ ബഫർ ഓവർഫ്ലോ ഫിക്സ് ഉള്ള അപ്പാച്ചെ 2.4.52 http സെർവറിന്റെ റിലീസ്

അപ്പാച്ചെ HTTP സെർവർ 2.4.52 പുറത്തിറങ്ങി, 25 മാറ്റങ്ങൾ അവതരിപ്പിക്കുകയും 2 കേടുപാടുകൾ ഇല്ലാതാക്കുകയും ചെയ്യുന്നു:

• CVE-2021-44790 എന്നത് മൾട്ടിപാർട്ട് അഭ്യർത്ഥനകൾ പാഴ്‌സ് ചെയ്യുമ്പോൾ സംഭവിക്കുന്ന mod_lua-ലെ ഒരു ബഫർ ഓവർഫ്ലോ ആണ്. അഭ്യർത്ഥന ബോഡി പാഴ്‌സ് ചെയ്യുന്നതിന് Lua സ്‌ക്രിപ്റ്റുകൾ r:parsebody() ഫംഗ്‌ഷനെ വിളിക്കുന്ന കോൺഫിഗറേഷനുകളെ ദുർബലത ബാധിക്കുന്നു, പ്രത്യേകമായി തയ്യാറാക്കിയ ഒരു അഭ്യർത്ഥന അയച്ചുകൊണ്ട് ഒരു ബഫർ ഓവർഫ്ലോ ഉണ്ടാക്കാൻ ഒരു ആക്രമണകാരിയെ അനുവദിക്കുന്നു. ഒരു ചൂഷണത്തിന്റെ തെളിവുകളൊന്നും ഇതുവരെ തിരിച്ചറിഞ്ഞിട്ടില്ല, പക്ഷേ പ്രശ്നം സെർവറിൽ അതിന്റെ കോഡ് നടപ്പിലാക്കുന്നതിലേക്ക് നയിച്ചേക്കാം.
• CVE-2021-44224 - mod_proxy-യിലെ SSRF (സെർവർ സൈഡ് അഭ്യർത്ഥന ഫോർജറി) അപകടസാധ്യത, ഇത് "പ്രോക്സി റിക്വസ്റ്റ്സ് ഓൺ" ക്രമീകരണം ഉള്ള കോൺഫിഗറേഷനിൽ, പ്രത്യേകമായി രൂപകൽപ്പന ചെയ്ത URI-യ്ക്കായുള്ള അഭ്യർത്ഥനയിലൂടെ, മറ്റൊരു ഹാൻഡ്‌ലറിലേക്ക് അഭ്യർത്ഥന റീഡയറക്‌ട് നേടുന്നതിന് അനുവദിക്കുന്നു. Unix Domain Socket വഴിയുള്ള കണക്ഷനുകൾ സ്വീകരിക്കുന്ന സെർവർ. ഒരു നൾ പോയിന്റർ ഡെറഫറൻസിനായി വ്യവസ്ഥകൾ സൃഷ്ടിച്ച് ഒരു തകരാർ ഉണ്ടാക്കാനും ഈ പ്രശ്നം ഉപയോഗിക്കാം. പതിപ്പ് 2.4.7 മുതൽ ആരംഭിക്കുന്ന അപ്പാച്ചെ httpd പതിപ്പുകളെ ഈ പ്രശ്നം ബാധിക്കുന്നു.

ഏറ്റവും ശ്രദ്ധേയമായ നോൺ-സെക്യൂരിറ്റി മാറ്റങ്ങൾ ഇവയാണ്:

• mod_ssl-ലേക്ക് OpenSSL 3 ലൈബ്രറി ഉപയോഗിച്ച് നിർമ്മിക്കുന്നതിനുള്ള പിന്തുണ ചേർത്തു.
• ഓട്ടോകോൺഫ് സ്ക്രിപ്റ്റുകളിൽ മെച്ചപ്പെടുത്തിയ OpenSSL ലൈബ്രറി കണ്ടെത്തൽ.
• mod_proxy-ൽ, ടണലിംഗ് പ്രോട്ടോക്കോളുകൾക്കായി, "SetEnv proxy-nohalfclose" പാരാമീറ്റർ സജ്ജീകരിച്ച് പകുതി-അടുത്ത TCP കണക്ഷനുകളുടെ റീഡയറക്ഷൻ പ്രവർത്തനരഹിതമാക്കുന്നത് സാധ്യമാണ്.
• പ്രോക്‌സി ചെയ്യാൻ ഉദ്ദേശിക്കാത്ത യുആർഐകളിൽ http/https സ്‌കീമും പ്രോക്‌സി ചെയ്യാൻ ഉദ്ദേശിച്ചിട്ടുള്ളവ ഹോസ്റ്റ് നെയിമും ഉൾക്കൊള്ളുന്ന അധിക പരിശോധനകൾ ചേർത്തു.
• mod_proxy_connect, mod_proxy എന്നിവ ക്ലയന്റിലേക്ക് അയച്ചതിന് ശേഷം സ്റ്റാറ്റസ് കോഡ് മാറ്റാൻ അനുവദിക്കുന്നില്ല.
• "പ്രതീക്ഷിക്കുക: 100-തുടരുക" എന്ന തലക്കെട്ട് ഉപയോഗിച്ച് അഭ്യർത്ഥനകൾ ലഭിച്ചതിന് ശേഷം ഇന്റർമീഡിയറ്റ് പ്രതികരണങ്ങൾ അയയ്ക്കുമ്പോൾ, അഭ്യർത്ഥനയുടെ നിലവിലെ അവസ്ഥയെക്കാൾ "100 തുടരുക" എന്ന നിലയാണ് ഫലം സൂചിപ്പിക്കുന്നതെന്ന് ഉറപ്പാക്കുക.
• mod_dav CalDAV വിപുലീകരണങ്ങൾക്കുള്ള പിന്തുണ ചേർക്കുന്നു, ഒരു പ്രോപ്പർട്ടി സൃഷ്ടിക്കുമ്പോൾ ഡോക്യുമെന്റ് ഘടകങ്ങളും പ്രോപ്പർട്ടി ഘടകങ്ങളും കണക്കിലെടുക്കേണ്ടതുണ്ട്. മറ്റ് മൊഡ്യൂളുകളിൽ നിന്ന് വിളിക്കാവുന്ന dav_validate_root_ns(), dav_find_child_ns(), dav_find_next_ns(), dav_find_attr_ns(), dav_find_attr() എന്നീ പുതിയ ഫംഗ്ഷനുകൾ ചേർത്തു.
• mpm_event-ൽ, സെർവർ ലോഡിലെ കുതിച്ചുചാട്ടത്തിന് ശേഷം നിഷ്‌ക്രിയ ചൈൽഡ് പ്രോസസ്സുകൾ നിർത്തുന്നതിലെ പ്രശ്നം പരിഹരിച്ചു.
• Mod_http2, MaxRequestsPerChild, MaxConnectionsPerChild എന്നീ നിയന്ത്രണങ്ങൾ കൈകാര്യം ചെയ്യുമ്പോൾ തെറ്റായ സ്വഭാവത്തിന് കാരണമായ റിഗ്രഷൻ മാറ്റങ്ങൾ നിശ്ചയിച്ചിട്ടുണ്ട്.
• ACME (ഓട്ടോമാറ്റിക് സർട്ടിഫിക്കറ്റ് മാനേജ്മെന്റ് എൻവയോൺമെന്റ്) പ്രോട്ടോക്കോൾ ഉപയോഗിച്ച് സർട്ടിഫിക്കറ്റുകളുടെ രസീതുകളും പരിപാലനവും ഓട്ടോമേറ്റ് ചെയ്യാൻ ഉപയോഗിക്കുന്ന mod_md മൊഡ്യൂളിന്റെ കഴിവുകൾ വിപുലീകരിച്ചു:
  • ACME എക്‌സ്‌റ്റേണൽ അക്കൗണ്ട് ബൈൻഡിംഗ് (ഇഎബി) മെക്കാനിസത്തിനായുള്ള പിന്തുണ ചേർത്തു, MDEexternalAccountBinding നിർദ്ദേശം ഉപയോഗിച്ച് പ്രവർത്തനക്ഷമമാക്കി. പ്രധാന സെർവർ കോൺഫിഗറേഷൻ ഫയലിലെ പ്രാമാണീകരണ പാരാമീറ്ററുകൾ വെളിപ്പെടുത്തുന്നത് ഒഴിവാക്കിക്കൊണ്ട്, ഒരു ബാഹ്യ JSON ഫയലിൽ നിന്ന് EAB- നായുള്ള മൂല്യങ്ങൾ ക്രമീകരിക്കാൻ കഴിയും.
  • URL പാരാമീറ്ററിൽ http/https അല്ലെങ്കിൽ മുൻകൂട്ടി നിശ്ചയിച്ച പേരുകളിലൊന്ന് ('LetsEncrypt', 'LetsEncrypt-Test', 'Buypass', 'Buypass-Test' എന്നിവ അടങ്ങിയിരിക്കുന്നുവെന്ന് 'MDCertificateAuthority' നിർദ്ദേശം ഉറപ്പാക്കുന്നു.
  • ഒരു വിഭാഗത്തിനുള്ളിൽ MDContactEmail നിർദ്ദേശം വ്യക്തമാക്കാൻ അനുവദിച്ചിരിക്കുന്നു .
  • ഒരു സ്വകാര്യ കീ ലോഡുചെയ്യുന്നത് പരാജയപ്പെടുമ്പോൾ സംഭവിക്കുന്ന മെമ്മറി ലീക്ക് ഉൾപ്പെടെ നിരവധി ബഗുകൾ പരിഹരിച്ചു.

അവലംബം: opennet.ru