Utgivelsen av HTTP-serveren Apache 2.4.58 løser DoS-sårbarheter i HTTP/2

Utgivelsen av HTTP-serveren Apache 2.4.58 er publisert, med 33 endringer og tre sårbarheter adressert, hvorav to er knyttet til muligheten for å utføre DoS-angrep på systemer som bruker HTTP/2-protokollen.

• CVE-2023-45802 — tilstander som fører til oppbruk av tilgjengelig minne på grunn av utsatt frigjøring av minne etter tilbakestilling av HTTP/2-strøm med en RST-pakke. Siden minnet ikke frigjøres umiddelbart etter behandling av RST-flagget, men først etter at forbindelsen er lukket, kan angriperen betydelig øke minnebruken ved å sende nye forespørsel og tilbakestille dem med RST-pakken, uten å lukke forbindelsen.
• CVE-2023-43622 — uendelig blokkering av HTTP/2-tilkoblingsbehandling hvis den ble åpnet med en initial glidende vindusstørrelse satt til 0. Sårbarheten kan brukes til å forårsake tjenestenekt ved å tømme grensen for det maksimalt tillatte antall åpne forbindelser.
• CVE-2023-31122 — en sårbarhet i mod_macro som fører til lesing av data utenfor det tildelte bufferen.

Blant endringene som ikke er relatert til sikkerhet:

• I mod_http2 er det lagt til støtte for å bruke WebSocket-protokollen over strømmen i HTTP/2-tilkoblingen (RFC 8441). For å aktivere WebSocket over HTTP/2 er det foreslått en direktiv ‘H2WebSockets on|off’.
• I mod_http2 er det lagt til direktiv ‘H2EarlyHint name value’ for å legge til overskrifter i svaret «103 Early Hints».
• I mod_http2 er det lagt til direktiv ‘H2ProxyRequests on|off’ for å kontrollere om behandling av forespørsel via HTTP/2-protokollen er aktivert i proxy-konfigurasjonen.
• I mod_http2 er det lagt til direktiv ‘H2MaxDataFrameLen n’ for å begrense maksimal størrelse på responskroppen i bytes overført i en enkelt DATA-ramme i HTTP/2. Standardgrensen er satt til 16KB.
• Mime.types-filen er oppdatert, hvor filtypen “.js” er knyttet til typen ‘text/javascript’ i stedet for ‘application/javascript’, og utvidelsene: “.mjs” (med typen ‘text/javascript’) og “.opus” (‘audio/ogg’) er lagt til. MIME-typene og utvidelsene som brukes i WebAssembly er også lagt til.
• Modulen mod_tls (alternativ til mod_ssl skrevet i Rust) er overført til å bruke rustls-ffi-biblioteket 0.9.2+.
• Det er lagt til direktiv ‘MDMatchNames all|servernames’ i mod_md for å håndtere samsvar mellom MDomains og innholdet i VirtualHosts.
• Det er lagt til direktiv ‘MDChallengeDns01Version’ i mod_md for å velge versjon av ACME-protokollen som brukes ved verifisering via DNS.
• I mod_md tillater bruken av direktivet MDChallengeDns01 for enkeltstående domener.
• I mod_dav er direktivet ‘DavBasePath’ lagt til for å konfigurere banen til roten av WebDav-repositoriet.
• I mod_alias er direktivet ‘AliasPreservePath’ lagt til for å bruke hele banen av Alias-verdien i Location-blokken.
• I mod_alias er direktivet ‘RedirectRelative’ lagt til, som tillater omdirigering med bruk av relative baner.
• Det er lagt til spesifikatorene %{z} og %{strftime-format} i direktivet ErrorLogFormat.
• I mod_deflate er direktivet ‘DeflateAlterETag’ lagt til for å styre endringen av ETag ved bruk av komprimering.
• Det er gjort ytelsesoptimalisering av funksjonen send_brigade_nonblocking().
• I mod_status er det fjernet duplikater av nøklene 'BusyWorkers' og 'IdleWorkers', og det er lagt til en ny teller 'GracefulWorkers'.

Kilde: opennet.ru