Apache http सर्व्हर रिलीझ 2.4.43

प्रकाशित Apache HTTP सर्व्हर 2.4.43 चे प्रकाशन (रिलीज 2.4.42 वगळण्यात आले), जे सादर केले 34 बदल आणि काढून टाकले 3 भेद्यता:

• CVE-2020-1927: mod_rewrite मधील एक भेद्यता जी सर्व्हरला इतर संसाधनांवर विनंत्या फॉरवर्ड करण्यासाठी वापरण्याची परवानगी देते (ओपन रीडायरेक्ट). काही mod_rewrite सेटिंग्जमुळे वापरकर्त्याला दुसऱ्या दुव्यावर फॉरवर्ड केले जाऊ शकते, विद्यमान रीडायरेक्टमध्ये वापरल्या जाणाऱ्या पॅरामीटरमध्ये नवीन लाइन वर्ण वापरून एन्कोड केले जाऊ शकते.
• CVE-2020-1934: mod_proxy_ftp मधील भेद्यता. आक्रमणकर्ते-नियंत्रित FTP सर्व्हरला विनंती प्रॉक्सी करताना सुरू न केलेली मूल्ये वापरल्याने मेमरी लीक होऊ शकते.
• mod_ssl मधील मेमरी गळती जी OCSP विनंत्या चेन करताना उद्भवते.

सर्वात लक्षणीय गैर-सुरक्षा बदल:

• नवीन मॉड्यूल जोडले mod_systemd, जे systemd सिस्टम व्यवस्थापकासह एकत्रीकरण प्रदान करते. मॉड्यूल तुम्हाला httpd सेवांमध्ये “Type=notify” प्रकार वापरण्याची परवानगी देते.
• apxs मध्ये क्रॉस-कंपिलेशन समर्थन जोडले गेले आहे.
• ACME (ऑटोमॅटिक सर्टिफिकेट मॅनेजमेंट एन्व्हायर्नमेंट) प्रोटोकॉलचा वापर करून प्रमाणपत्रांची पावती आणि देखभाल स्वयंचलित करण्यासाठी Let's Encrypt प्रकल्पाद्वारे विकसित केलेल्या mod_md मॉड्यूलच्या क्षमतांचा विस्तार करण्यात आला आहे:
  • MDContactEmail निर्देश जोडले, ज्याद्वारे तुम्ही संपर्क ईमेल निर्दिष्ट करू शकता जो सर्व्हरॲडमिन निर्देशांवरील डेटासह ओव्हरलॅप होत नाही.
  • सर्व व्हर्च्युअल होस्टसाठी, सुरक्षित संप्रेषण चॅनेल (“tls-alpn-01”) वाटाघाटी करताना वापरल्या जाणाऱ्या प्रोटोकॉलसाठी समर्थन सत्यापित केले जाते.
  • mod_md निर्देशांना ब्लॉकमध्ये वापरण्याची अनुमती द्या आणि .
  • MDCAChallenges पुन्हा वापरताना मागील सेटिंग्ज ओव्हरराईट झाल्याची खात्री करते.
  • CTLog मॉनिटरसाठी url कॉन्फिगर करण्याची क्षमता जोडली.
  • MDMessageCmd निर्देशामध्ये परिभाषित केलेल्या आदेशांसाठी, सर्व्हर रीस्टार्ट केल्यानंतर नवीन प्रमाणपत्र सक्रिय करताना “स्थापित” युक्तिवादासह कॉल प्रदान केला जातो (उदाहरणार्थ, ते इतर अनुप्रयोगांसाठी नवीन प्रमाणपत्र कॉपी किंवा रूपांतरित करण्यासाठी वापरले जाऊ शकते).
• mod_proxy_hcheck ने चेक एक्सप्रेशनमध्ये %{Content-Type} मास्कसाठी समर्थन जोडले.
• युजरट्रॅक कुकी प्रोसेसिंग कॉन्फिगर करण्यासाठी CookieSameSite, CookieHTTPOnly आणि CookieSecure मोड mod_usertrack मध्ये जोडले गेले आहेत.
• mod_proxy_ajp लेगेसी AJP13 ऑथेंटिकेशन प्रोटोकॉलला समर्थन देण्यासाठी प्रॉक्सी हँडलर्ससाठी "गुप्त" पर्याय लागू करते.
• OpenWRT साठी जोडलेले कॉन्फिगरेशन सेट.
• SSLCertificateFile/KeyFile मध्ये PKCS#11 URI निर्दिष्ट करून OpenSSL ENGINE कडील खाजगी की आणि प्रमाणपत्रे वापरण्यासाठी mod_ssl ला समर्थन जोडले.
• सतत एकीकरण प्रणाली ट्रॅव्हिस सीआय वापरून चाचणी लागू केली.
• हस्तांतरण-एनकोडिंग शीर्षलेखांचे पार्सिंग कडक केले गेले आहे.
• mod_ssl व्हर्च्युअल होस्ट्सच्या संबंधात TLS प्रोटोकॉल वाटाघाटी प्रदान करते (OpenSSL-1.1.1+ सह तयार केल्यावर समर्थित.
• कमांड टेबल्ससाठी हॅशिंग वापरून, “ग्रेसफुल” मोडमध्ये रीस्टार्ट होण्याला गती दिली जाते (चालत असलेल्या क्वेरी प्रोसेसरमध्ये व्यत्यय न आणता).
• mod_lua मध्ये r:headers_in_table, r:headers_out_table, r:err_headers_out_table, r:notes_table आणि r:subprocess_env_table जोडले. सारण्यांना "शून्य" मूल्य नियुक्त करण्यास अनुमती द्या.
• mod_authn_socache मध्ये कॅश्ड लाइनच्या आकाराची मर्यादा 100 वरून 256 पर्यंत वाढवली आहे.

स्त्रोत: opennet.ru