HTTP/2.4.58 मा DoS कमजोरीहरूको उन्मूलनको साथ Apache 2 HTTP सर्भरको रिलीज

Apache HTTP सर्भर 2.4.58 को रिलीज प्रकाशित गरिएको छ, जसले 33 परिवर्तनहरू परिचय गर्दछ र तीनवटा कमजोरीहरूलाई हटाउँछ, जसमध्ये दुई HTTP/2 प्रोटोकल प्रयोग गरेर प्रणालीहरूमा DoS आक्रमण गर्ने सम्भावनासँग सम्बन्धित छन्।

• CVE-2023-45802 RST फ्ल्याग भएको प्याकेटद्वारा HTTP/2 स्ट्रिम रिसेट गरिसकेपछि मेमोरी डिललोकेशनमा ढिलाइ भएको कारणले मेमोरी एक्जिसन अवस्था सिर्जना हुन्छ। RST फ्ल्याग प्रशोधन गरेपछि तुरुन्तै मेमोरी रिलिज हुँदैन, तर जडान बन्द भएपछि मात्र, आक्रमणकर्ताले नयाँ अनुरोधहरू पठाएर र जडान बन्द नगरी RST प्याकेटको साथ फ्लश गरेर मेमोरी खपत उल्लेखनीय रूपमा बढाउन सक्छ।
• CVE-2023-43622 - HTTP/2 जडान प्रशोधन ब्लक अनिश्चित कालको लागि यदि यो प्रारम्भिक स्लाइडिङ विन्डो आकार 0 मा सेट संग खोलिएको थियो। जोखिमलाई खुला जडानहरूको अधिकतम अनुमति संख्यामा सीमा नाघेर सेवा अस्वीकार गर्न प्रयोग गर्न सकिन्छ।
• CVE-2023-31122 mod_macro मा एक जोखिम हो जसले डेटा छुट्याइएको बफर बाहिरको क्षेत्रबाट पढ्न अनुमति दिन्छ।

गैर-सुरक्षा परिवर्तनहरू मध्ये:

• mod_http2 ले HTTP/2 जडान (RFC 8441) मा स्ट्रिममा WebSocket प्रोटोकल प्रयोग गर्न समर्थन थप्छ। HTTP/2 मा WebSocket सक्षम गर्न, 'H2WebSockets on|off' निर्देशन प्रस्तावित गरिएको छ।
• "2 प्रारम्भिक संकेतहरू" प्रतिक्रियामा हेडरहरू थप्नको लागि mod_http2 मा 'H103EarlyHint नाम मान' निर्देशन थपियो।
• प्रोक्सी कन्फिगरेसनमा HTTP/2 अनुरोध प्रशोधन सक्षम छ कि छैन भनेर नियन्त्रण गर्न mod_http2 मा 'H2ProxyRequests on|off' निर्देशन थपियो।
• 'H2MaxDataFrameLen n' निर्देशन mod_http2 मा थपिएको छ प्रतिक्रिया शरीरको अधिकतम आकारलाई HTTP/2 मा एक डेटा फ्रेममा प्रसारित बाइटहरूमा सीमित गर्न। पूर्वनिर्धारित सीमा 16KB हो।
• ".js" विस्तारलाई 'application/javascript' को सट्टा 'text/javascript' प्रकारमा बाँध्न mime.types फाइल अद्यावधिक गरियो र निम्न विस्तारहरू थपियो: ".mjs" ('text/javascript' प्रकारको साथ) र " .opus" ('audio/ogg')। WebAssembly मा प्रयोग गरिएको MIME प्रकार र विस्तारहरू थपियो।
• mod_tls मोड्युल (Rust भाषामा mod_ssl को एक विकल्प) rustls-ffi 0.9.2+ पुस्तकालय प्रयोग गर्न अनुवाद गरिएको छ।
• MDomains कसरी VirtualHosts सामग्रीसँग मिलाइन्छ भनेर नियन्त्रण गर्न mod_md मोड्युलमा 'MDMatchNames all|servernames' निर्देशन थपियो।
• DNS प्रमाणीकरणका लागि प्रयोग गरिएको ACME प्रोटोकल संस्करण चयन गर्न mod_md मोड्युलमा 'MDChallengeDns01Version' निर्देशन थपिएको छ।
• mod_md ले व्यक्तिगत डोमेनहरूको लागि MDChallengeDns01 निर्देशन प्रयोग गर्न अनुमति दिन्छ।
• WebDav भण्डारको रूटमा मार्ग कन्फिगर गर्न mod_dav मा 'DavBasePath' निर्देशन थपियो।
• mod_alias मा 'AliasPreservePath' निर्देशन थपियो पूर्ण पथको रूपमा स्थान ब्लकमा उपनाम मान प्रयोग गर्न।
• mod_alias मा 'RedirectRelative' निर्देशन थपियो, सापेक्ष मार्गहरू प्रयोग गरेर पुन: निर्देशित गर्न अनुमति दिँदै।
• %{z} र %{strftime-format} ढाँचा निर्दिष्टकर्ताहरूलाई ErrorLogFormat निर्देशनमा थपिएको छ।
• कम्प्रेसन प्रयोग गर्दा ETag कसरी परिवर्तन हुन्छ भनेर नियन्त्रण गर्न mod_deflate मा 'DeflateAlterETag' निर्देशन थपियो।
• send_brigade_nonblocking() प्रकार्यको कार्यसम्पादन अप्टिमाइज गरिएको छ।
• Mod_status ले "BusyWorkers" र "IdleWorkers" डुप्लिकेट कुञ्जीहरू हटाइएको सुनिश्चित गर्दछ, र नयाँ काउन्टर "GracefulWorkers" थपिएको छ।

स्रोत: opennet.ru