Utgivelse av http-serveren Apache 2.4.52 med retting av buffer-overløpsproblem i mod_lua

Utgitt versjon av HTTP-serveren Apache 2.4.52, som inkluderer 25 endringer og retter 2 sårbarheter:

• CVE-2021-44790 — buffer-overløp i mod_lua, som manifesterer seg ved parsing av forespørslene som består av flere deler (multipart). Sårbarheten berører konfigurasjoner der Lua-skript kaller funksjonen r:parsebody() for å parse forespørselens kropp, og lar en angriper oppnå buffer-overløp ved å sende en spesialdesignet forespørsel. Det er foreløpig ikke rapportert om eksistensen av et utnyttelse, men problemet kan potensielt føre til kjøring av egen kode på serveren.
• CVE-2021-44224 — SSRF-sårbarhet (Server Side Request Forgery) i mod_proxy, som tillater i konfigurasjoner med innstillingen «ProxyRequests on» å oppnå omdirigering av forespørselen til en annen behandler på samme server som aksepterer tilkoblinger via Unix Domain Socket gjennom en spesialdesignet URI-forespørsel. Problemet kan også utnyttes for å forårsake krasj ved å skape forhold for dereferering av en nullpeker. Problemet berører versjoner av Apache httpd fra versjon 2.4.7.

De mest bemerkelsesverdige endringene som ikke er relatert til sikkerhet:

• I mod_ssl er det lagt til støtte for bygging med OpenSSL 3-biblioteket.
• Forbedret detektering av OpenSSL-biblioteket i autoconf-skript.
• I mod_proxy for tunnelingprotokoller er det gitt mulighet for å deaktivere omdirigering av halvåpne TCP-tilkoblinger ved å sette parameteren «SetEnv proxy-nohalfclose».
• Ytterligere sjekker lagt til for å sikre at URI-er som ikke er ment for proxying, inneholder http/https-skjema, mens de som er ment for proxying, inneholder vertsnavn.
• Endring av statuskode er forbudt etter at den er sendt til klienten i mod_proxy_connect og mod_proxy.
• Ved sending av mellomliggende svar etter å ha mottatt forespørsel med overskriften «Expect: 100-Continue», sikres at resultatet viser status «100 Continue», ikke den nåværende forespørselens status.
• I mod_dav er det lagt til støtte for CalDAV-utvidelser, der genereringen av egenskap må ta hensyn til både dokumentelementer og egenskapselementer. Nye funksjoner som dav_validate_root_ns(), dav_find_child_ns(), dav_find_next_ns(), dav_find_attr_ns() og dav_find_attr() er lagt til og kan kalles fra andre moduler.
• I mpm_event er problemet med å stoppe inaktive barneprosesser etter et serverbelastningsutbrudd løst.
• Regressive changes leading to incorrect behavior when processing MaxRequestsPerChild and MaxConnectionsPerChild limits have been eliminated in mod_http2.
• The capabilities of the mod_md module, used for automating the acquisition and maintenance of certificates using the ACME (Automatic Certificate Management Environment) protocol, have been expanded:
  • Support for the ACME External Account Binding (EAB) mechanism has been added, enabled using the MDExternalAccountBinding directive. EAB values can be configured from an external JSON file, allowing authentication parameters to remain undisclosed in the main file. serverkonfigurasjonen.
  • The ‘MDCertificateAuthority’ directive now validates that the URL parameter includes http/https or one of the predefined names (‘LetsEncrypt’, ‘LetsEncrypt-Test’, ‘Buypass’, and ‘Buypass-Test’).
  • The MDContactEmail directive is now allowed within the section.
  • Several bugs have been fixed, including a memory leak that occurs during failures when loading a private key.

Kilde: opennet.ru