rilaxx tas-server Apache HTTP 2.4.41 (ir-rilaxx 2.4.40 inqabeż), li introduċa u eliminati :
- hija kwistjoni f'mod_http2 li tista' twassal għal korruzzjoni tal-memorja meta tibgħat talbiet push fi stadju bikri ħafna. Meta tuża l-issettjar "H2PushResource", huwa possibbli li tissostitwixxi l-memorja fil-grupp tal-ipproċessar tat-talba, iżda l-problema hija limitata għal ħabta minħabba li d-dejta li qed tinkiteb mhix ibbażata fuq informazzjoni riċevuta mill-klijent;
- - espożizzjoni reċenti Vulnerabbiltajiet DoS fl-implimentazzjonijiet HTTP/2.
Attakkant jista' jeżawrixxi l-memorja disponibbli għal proċess u joħloq tagħbija tqila tas-CPU billi jiftaħ tieqa HTTP/2 li tiżżerżaq għas-server biex jibgħat data mingħajr restrizzjonijiet, iżda jżomm it-tieqa TCP magħluqa, u jipprevjeni d-data milli fil-fatt tinkiteb fis-sokit; - - problema f'mod_rewrite, li tippermettilek tuża s-server biex tgħaddi talbiet lil riżorsi oħra (open redirect). Xi settings mod_rewrite jistgħu jirriżultaw f'li l-utent jintbagħat lil link ieħor, kodifikat bl-użu ta' karattru newline f'parametru użat f'redirect eżistenti. Biex timblokka l-problema f'RegexDefaultOptions, tista' tuża l-bandiera PCRE_DOTALL, li issa hija stabbilita awtomatikament;
- - il-ħila li twettaq cross-site scripting fuq paġni ta 'żball murija minn mod_proxy. F'dawn il-paġni, il-link fiha l-URL miksub mit-talba, li fiha attakkant jista 'jdaħħal kodiċi HTML arbitrarju permezz ta' ħarba tal-karattri;
- — stack overflow u NULL pointer dereference f'mod_remoteip, sfruttati permezz tal-manipulazzjoni tal-header tal-protokoll PROXY. L-attakk jista 'jsir biss min-naħa tas-server proxy użat fis-settings, u mhux permezz ta' talba tal-klijent;
- - vulnerabbiltà f'mod_http2 li tippermetti, fil-mument tat-terminazzjoni tal-konnessjoni, li jinbeda qari ta' kontenut minn żona ta' memorja diġà meħlusa (read-after-free).
L-aktar bidliet notevoli mhux tas-sigurtà huma:
- mod_proxy_balancer tejjeb il-protezzjoni kontra attakki XSS/XSRF minn sħabhom fdati;
- Ġie miżjud setting SessionExpiryUpdateInterval ma mod_session biex jiddetermina l-intervall għall-aġġornament tal-ħin tal-iskadenza tas-sessjoni/cookie;
- Paġni bi żbalji ġew imnaddfa, immirati biex jeliminaw il-wiri ta 'informazzjoni minn talbiet fuq dawn il-paġni;
- mod_http2 iqis il-valur tal-parametru "LimitRequestFieldSize", li qabel kien validu biss għall-iċċekkjar tal-oqsma tal-header HTTP/1.1;
- Jiżgura li l-konfigurazzjoni mod_proxy_hcheck tinħoloq meta tintuża f'BalancerMember;
- Konsum imnaqqas tal-memorja f'mod_dav meta tuża l-kmand PROPFIND fuq kollezzjoni kbira;
- F'mod_proxy u mod_ssl, il-problemi bl-ispeċifikazzjoni taċ-ċertifikat u l-issettjar SSL ġewwa l-blokk Proxy ġew solvuti;
- mod_proxy jippermetti li s-settings SSLProxyCheckPeer* jiġu applikati għall-moduli proxy kollha;
- Kapaċità tal-modulu estiża , Let's Encrypt proġett biex awtomat ir-riċevuta u l-manutenzjoni taċ-ċertifikati billi tuża l-protokoll ACME (Automatic Certificate Management Environment):
- Miżjud it-tieni verżjoni tal-protokoll , li issa hija l-inadempjenza u talbiet POST vojta minflok GET.
- Appoġġ miżjud għall-verifika bbażata fuq l-estensjoni TLS-ALPN-01 (RFC 7301, Applikazzjoni-Layer Protocol Negotiation), li tintuża f'HTTP/2.
- L-appoġġ għall-metodu ta' verifika 'tls-sni-01' twaqqaf (minħabba ).
- Kmandi miżjuda għat-twaqqif u t-tkissir tal-kontroll bl-użu tal-metodu 'dns-01'.
- Appoġġ miżjud fiċ-ċertifikati meta l-verifika bbażata fuq DNS tkun attivata ('dns-01').
- Immaniġġja 'md-status' implimentata u paġna tal-istatus taċ-ċertifikat 'https://domain/.httpd/certificate-status'.
- Miżjud direttivi "MDCertificateFile" u "MDCertificateKeyFile" għall-konfigurazzjoni ta' parametri tad-dominju permezz ta' fajls statiċi (mingħajr appoġġ ta' aġġornament awtomatiku).
- Miżjud id-direttiva "MDMessageCmd" biex issejjaħ kmandi esterni meta jseħħu avvenimenti "imġedda", "li jiskadu" jew "iżballati".
- Miżjud direttiva "MDWarnWindow" biex jiġi kkonfigurat messaġġ ta 'twissija dwar l-iskadenza taċ-ċertifikat;
Sors: opennet.ru