Apache 2.4.46 HTTP सर्व्हर रिलीझ असुरक्षा निश्चित

प्रकाशित Apache HTTP सर्व्हर 2.4.46 चे प्रकाशन (रिलीज 2.4.44 आणि 2.4.45 वगळण्यात आले), ज्याने सादर केले 17 बदल आणि काढून टाकले 3 भेद्यता:

• सीव्हीई- 2020-11984 — mod_proxy_uwsgi मॉड्यूलमध्ये बफर ओव्हरफ्लो, ज्यामुळे विशेष तयार केलेली विनंती पाठवताना सर्व्हरवर माहिती गळती किंवा कोडची अंमलबजावणी होऊ शकते. खूप लांब HTTP शीर्षलेख पाठवून भेद्यतेचा फायदा घेतला जातो. संरक्षणासाठी, 16K पेक्षा जास्त लांबीचे शीर्षलेख अवरोधित करणे जोडले गेले आहे (प्रोटोकॉल तपशीलामध्ये परिभाषित केलेली मर्यादा).
• सीव्हीई- 2020-11993 — mod_http2 मॉड्युलमधील एक भेद्यता जी विशेष डिझाइन केलेल्या HTTP/2 शीर्षलेखासह विनंती पाठवताना प्रक्रियेला क्रॅश होण्यास अनुमती देते. mod_http2 मॉड्यूलमध्ये डीबगिंग किंवा ट्रेसिंग सक्षम केल्यावर समस्या प्रकट होते आणि लॉगमध्ये माहिती जतन करताना रेस स्थितीमुळे मेमरी करप्ट होते. LogLevel "माहिती" वर सेट केल्यावर समस्या दिसून येत नाही.
• सीव्हीई- 2020-9490 — mod_http2 मॉड्युलमधील एक भेद्यता जी HTTP/2 द्वारे विनंती पाठवताना क्रॅश होण्यास अनुमती देते विशेष डिझाइन केलेले 'कॅशे-डायजेस्ट' हेडर मूल्य (संसाधनावर HTTP/2 पुश ऑपरेशन करण्याचा प्रयत्न करताना क्रॅश होतो) . भेद्यता अवरोधित करण्यासाठी, तुम्ही "H2Push off" सेटिंग वापरू शकता.
• सीव्हीई- 2020-11985 — mod_remoteip भेद्यता, जी तुम्हाला mod_remoteip आणि mod_rewrite वापरून प्रॉक्सी करताना IP पत्ते स्पूफ करण्याची परवानगी देते. समस्या फक्त 2.4.1 ते 2.4.23 रिलीझसाठी दिसते.

सर्वात लक्षणीय गैर-सुरक्षा बदल:

• मसुदा तपशीलासाठी समर्थन mod_http2 वरून काढले गेले आहे kazuho-h2-cache-digest, ज्यांची पदोन्नती थांबवण्यात आली आहे.
• mod_http2 मध्ये "LimitRequestFields" निर्देशाचे वर्तन बदलले; 0 चे मूल्य निर्दिष्ट केल्याने आता मर्यादा अक्षम होते.
• mod_http2 प्राथमिक आणि दुय्यम (मास्टर/सेकंडरी) कनेक्शनची प्रक्रिया आणि वापरावर अवलंबून पद्धतींचे चिन्हांकन प्रदान करते.
• FCGI/CGI स्क्रिप्टमधून चुकीची अंतिम-सुधारित शीर्षलेख सामग्री प्राप्त झाल्यास, हे शीर्षलेख युनिक्स युगात बदलण्याऐवजी आता काढले जाईल.
• ap_parse_strict_length() फंक्शन सामग्रीच्या आकाराचे काटेकोरपणे विश्लेषण करण्यासाठी कोडमध्ये जोडले गेले आहे.
• Mod_proxy_fcgi चे ProxyFCGISetEnvIf खात्री करते की दिलेली अभिव्यक्ती False दिल्यास पर्यावरण व्हेरिएबल्स काढून टाकले जातात.
• SSLProxyMachineCertificateFile सेटिंगद्वारे निर्दिष्ट केलेले क्लायंट प्रमाणपत्र वापरताना शर्यतीची स्थिती आणि संभाव्य mod_ssl क्रॅश निश्चित केले.
• mod_ssl मध्ये निश्चित मेमरी लीक.
• mod_proxy_http2 प्रॉक्सी पॅरामीटरचा वापर प्रदान करते "असा आवाज करणे» बॅकएंडवर नवीन किंवा पुन्हा वापरलेल्या कनेक्शनची कार्यक्षमता तपासताना.
• mod_systemd सक्षम असताना "-lsystemd" पर्यायासह httpd बंधनकारक करणे थांबवले.
• mod_proxy_http2 हे सुनिश्चित करते की बॅकएंडशी कनेक्शनद्वारे येणाऱ्या डेटाची प्रतीक्षा करताना प्रॉक्सी टाइमआउट सेटिंग विचारात घेतली जाते.

स्त्रोत: opennet.ru