release van de HTTP-server Apache 2.4.41 (uitgave 2.4.40 werd overgeslagen), waarin en verholpen :
- — een probleem in mod_http2, dat kan leiden tot geheugenbeschadiging bij het verzenden van push-verzoeken in een zeer vroeg stadium. Bij gebruik van de instelling 'H2PushResource' is het mogelijk om geheugen te overschrijven in de aanvraagverwerkingspool, maar het probleem is beperkt tot een crash, omdat de geschreven gegevens niet zijn gebaseerd op informatie van de client;
- — blootstelling aan een recent DoS-kwetsbaarheid in HTTP/2-implementaties.
Een aanvaller kan het beschikbare geheugen van het proces uitputten en een hoge CPU-belasting veroorzaken door een verschuivend HTTP/2-venster te openen om onbeperkt gegevens van de server te verzenden, terwijl het TCP-venster gesloten blijft, waardoor het feitelijk onmogelijk is om gegevens naar de socket te schrijven; - — een probleem in mod_rewrite, dat het mogelijk maakt dat de server verzoeken doorstuurt naar andere bronnen (open redirect). Sommige configuraties van mod_rewrite kunnen leiden tot doorsturen van de gebruiker naar een andere link, gecodeerd met behulp van het new line-teken binnen de parameter die wordt gebruikt in de bestaande redirect. Om het probleem te blokkeren kan de flag PCRE_DOTALL in RegexDefaultOptions worden gebruikt, die nu standaard is ingesteld;
- — de mogelijkheid tot cross-site scripting op foutpagina's die door mod_proxy worden weergegeven. Op deze pagina's wordt de link vervangen door de URL die uit de aanvraag is verkregen, waar een aanvaller via karakterescapinge willekeurige HTML-code kan invoegen;
- — stapeloverloop en derefereren van een NULL-pointer in mod_remoteip, uitgebuit via manipulaties met de PROXY-protocolheader. De aanval kan alleen worden uitgevoerd vanaf de proxyserver-configuratie en niet via de clientaanroep;
- — een kwetsbaarheid in mod_http2, die het mogelijk maakt om bij het beëindigen van de verbinding inhoud te lezen uit al vrijgegeven geheugen (read-after-free).
De meest opvallende wijzigingen die niet met beveiliging te maken hebben:
- In mod_proxy_balancer is de bescherming tegen XSS/XSRF-aanvallen vanuit vertrouwde knooppunten versterkt;
- In mod_session is de instelling SessionExpiryUpdateInterval toegevoegd om het interval voor het bijwerken van de levensduur van de sessie/cookie te bepalen;
- Er is een opschoning van foutpagina's uitgevoerd, gericht op het uitsluiten van het weergeven van informatie uit aanvragen op deze pagina's;
- In mod_http2 is accounted for the value of the parameter 'LimitRequestFieldSize', which previously only applied to the validation of HTTP/1.1 header fields;
- Configuration creation for mod_proxy_hcheck has been ensured when used in BalancerMember;
- Memory consumption in mod_dav has been reduced when using the PROPFIND command over a large collection;
- Issues with specifying certificate and SSL settings within the Proxy block in mod_proxy and mod_ssl have been resolved;
- The application of SSLProxyCheckPeer* settings for all proxy modules is now allowed in mod_proxy;
- De mogelijkheden van de module zijn uitgebreid , the Let’s Encrypt project for automating the acquisition and maintenance of certificates using the ACME (Automatic Certificate Management Environment) protocol:
- The second version of the protocol , which is now applied by default and empty POST requests instead of GET.
- Support for validation based on the TLS-ALPN-01 extension (RFC 7301, Application-Layer Protocol Negotiation), which is used in HTTP/2, has been added.
- Support for the 'tls-sni-01' validation method has been discontinued (due to ).
- Commands for setting up and breaking validation using the 'dns-01' method have been added.
- Ondersteuning toegevoegd voor in certificates when enabling DNS-based validation ('dns-01').
- The 'md-status' handler and a page with certificate status 'https://domain/.httpd/certificate-status' have been implemented.
- The directives 'MDCertificateFile' and 'MDCertificateKeyFile' have been added for configuring domain parameters via static files (without auto-renewal support).
- The directive 'MDMessageCmd' has been added for calling external commands when events 'renewed', 'expiring', or 'errored' occur.
- The directive 'MDWarnWindow' has been added for setting up warning messages about the expiration of the certificate;
Bron: opennet.ru
