Is-server Apache HTTP 2.4.52 ġie rilaxxat, li jintroduċi 25 bidla u jelimina 2 vulnerabbiltajiet:
- CVE-2021-44790 huwa buffer overflow f'mod_lua li jseħħ meta jiġu analizzati talbiet b'ħafna partijiet. Il-vulnerabbiltà taffettwa l-konfigurazzjonijiet li fihom l-iskripts Lua jsejħu l-funzjoni r:parsebody() biex jiġu analizzati l-korp tar-rikjesta, u b'hekk attakkant ikun jista' jikkawża buffer overflow billi jibgħat talba mfassla apposta. L-ebda evidenza ta 'sfruttament għadha ġiet identifikata, iżda l-problema tista' potenzjalment twassal għall-eżekuzzjoni tal-kodiċi tagħha fuq is-server.
- CVE-2021-44224 - Vulnerabbiltà SSRF (Falsifikazzjoni ta' Talba fuq in-naħa tas-Server) f'mod_proxy, li tippermetti, f'konfigurazzjonijiet bl-issettjar "ProxyRequests fuq", permezz ta' talba għal URI iddisinjat apposta, li tinkiseb direzzjoni mill-ġdid ta' talba lil handler ieħor fuq l-istess server li jaċċetta konnessjonijiet permezz ta’ Unix Domain Socket. Il-kwistjoni tista 'tintuża wkoll biex tikkawża ħabta billi toħloq il-kundizzjonijiet għal dereference null pointer. Il-kwistjoni taffettwa verżjonijiet ta' Apache httpd li jibdew mill-verżjoni 2.4.7.
L-aktar bidliet notevoli mhux tas-sigurtà huma:
- Appoġġ miżjud għall-bini bil-librerija OpenSSL 3 għal mod_ssl.
- Sejbien mtejba tal-librerija OpenSSL fi skripts autoconf.
- F'mod_proxy, għal protokolli ta' tunneling, huwa possibbli li tiddiżattiva direzzjoni mill-ġdid ta' konnessjonijiet TCP nofs qrib billi tissettja l-parametru "SetEnv proxy-nohalfclose".
- Żiedu verifiki addizzjonali li URIs mhux maħsuba għall-proxying fihom l-iskema http/https, u dawk maħsuba għall-proxying fihom l-isem tal-host.
- mod_proxy_connect u mod_proxy ma jippermettux li l-kodiċi tal-istatus jinbidel wara li jkun intbagħat lill-klijent.
- Meta tibgħat tweġibiet intermedji wara li tirċievi talbiet bl-intestatura "Stennew: 100-Kompli", kun żgur li r-riżultat jindika l-istatus ta '"100 Kompli" aktar milli l-istatus attwali tat-talba.
- mod_dav iżid appoġġ għall-estensjonijiet CalDAV, li jeħtieġu kemm l-elementi tad-dokument kif ukoll l-elementi tal-proprjetà għandhom jitqiesu meta tiġi ġġenerata proprjetà. Miżjuda funzjonijiet ġodda dav_validate_root_ns(), dav_find_child_ns(), dav_find_next_ns(), dav_find_attr_ns() u dav_find_attr(), li jistgħu jissejħu minn moduli oħra.
- F'mpm_event, il-problema bil-waqfien tal-proċessi tat-tfal idle wara żieda fit-tagħbija tas-server ġiet solvuta.
- Mod_http2 iffissa bidliet ta' rigressjoni li kkawżaw imġieba mhux korretta meta ttrattat ir-restrizzjonijiet MaxRequestsPerChild u MaxConnectionsPerChild.
- Il-kapaċitajiet tal-mod_md modulu, użati biex awtomatizzati l-irċevuta u l-manutenzjoni taċ-ċertifikati bl-użu tal-protokoll ACME (Automatic Certificate Management Environment), ġew estiżi:
- Appoġġ miżjud għall-mekkaniżmu ACME External Account Binding (EAB), attivat bl-użu tad-direttiva MDExternalAccountBinding. Il-valuri għall-EAB jistgħu jiġu kkonfigurati minn fajl JSON estern, filwaqt li jiġi evitat li l-parametri tal-awtentikazzjoni jiġu esposti fil-fajl tal-konfigurazzjoni tas-server prinċipali.
- Id-direttiva 'MDCertificateAuthority' tiżgura li l-parametru URL fih http/https jew wieħed mill-ismijiet predefiniti ('LetsEncrypt', 'LetsEncrypt-Test', 'Buypass' u 'Buypass-Test').
- Ippermettiet li tispeċifika d-direttiva MDContactEmail ġewwa t-taqsima .
- Diversi bugs ġew iffissati, inkluż tnixxija tal-memorja li sseħħ meta t-tagħbija ta 'ċavetta privata tfalli.
Sors: opennet.ru