ProHoster > Blogg > Internett nyheter > Utgivelsen av HTTP-serveren Apache 2.4.41 med sikkerhetsrettelser

Utgivelsen av HTTP-serveren Apache 2.4.41 med sikkerhetsrettelser

Published utgivelsen av HTTP-serveren Apache 2.4.41 (utgave 2.4.40 ble hoppet over), som presenterer 23 endringer og utbedret 6 sÄrbarheter:

  • CVE-2019-10081 — et problem i mod_http2, som kan fĂžre til minneĂžrkete nĂ„r push-forespĂžrsel sendes pĂ„ et tidlig stadium. Ved bruk av innstillingen «H2PushResource» kan det oppstĂ„ overskrivning av minneomrĂ„det i forespĂžrselspoolen, men problemet er begrenset til krasj, da de skrevne dataene ikke er basert pĂ„ informasjon fĂ„tt fra klienten;
  • CVE-2019-9517 — sĂ„rbarhet nylig annonserte DoS-sĂ„rbarhet i implementeringene av HTTP/2.
    Angriperen kan tÞmme tilgjengelig prosessminne og skape hÞy belastning pÄ CPU-en, ved Ä Äpne et glidende vindu for HTTP/2 for Ä sende data fra serveren uten begrensninger, samtidig som TCP-vinduet forblir lukket, noe som forhindrer faktisk skriving av data til sokkelen;
  • CVE-2019-10098 — et problem i mod_rewrite, som tillater serveren Ă„ omdirigere forespĂžrslene til andre ressurser (open redirect). Noen innstillinger av mod_rewrite kan fĂžre til at brukeren omdirigeres til en annen lenke, kodet med linjeskift-tegnet innen parameteret som brukes i eksisterende omdirigering. For Ă„ blokkere problemet kan man bruke flagget PCRE_DOTALL i RegexDefaultOptions, som nĂ„ er satt som standard;
  • CVE-2019-10092 — muligheten for Ă„ utfĂžre cross-site scripting pĂ„ feilsider som genereres av mod_proxy. PĂ„ disse sidene settes URL-en fra forespĂžrselen inn i lenken, hvor angriperen via tegnescaping kan sette inn vilkĂ„rlig HTML-kode;
  • CVE-2019-10097 — stakkoverlĂžp og nullpeker-dereferering i mod_remoteip, utnyttet gjennom manipulering av PROXY-protokollens overskrifter. Angrepet kan kun utfĂžres fra proxy-serverinnstillingene, ikke gjennom klientforespĂžrselen;
  • CVE-2019-10082 — en sĂ„rbarhet i mod_http2, som tillater initiere lesing av innhold fra allerede frigjort minneomrĂ„de ved avslutning av tilkoblingen (read-after-free).

De mest bemerkelsesverdige endringene som ikke er relatert til sikkerhet:

  • I mod_proxy_balancer er beskyttelsen mot XSS/XSRF-angrep fra betrodde noder styrket;
  • I mod_session er innstillingen SessionExpiryUpdateInterval lagt til for Ă„ definere oppdateringsintervallet for gyldigheten til sesjoner/cookie;
  • Feilsidene er ryddet for Ă„ unngĂ„ Ă„ vise informasjon fra forespĂžrslene pĂ„ disse sidene;
  • I mod_http2 er det tatt hensyn til verdien av parameteren «LimitRequestFieldSize», som tidligere kun gjaldt for sjekk av HTTP/1.1-headerfelt;
  • Det er lagt til stĂžtte for Ă„ opprette konfigureringen av mod_proxy_hcheck nĂ„r den brukes i BalancerMember;
  • Minnebruken i mod_dav er redusert nĂ„r PROPFIND-kommandoen brukes pĂ„ en stor samling;
  • I mod_proxy og mod_ssl er problemene med sertifikatinnstillinger og SSL inne i Proxy-blokken lĂžst;
  • I mod_proxy er det tillatt Ă„ bruke SSLProxyCheckPeer*-innstillinger for alle proxy-moduler;
  • Modulen mod_md, som er utviklet av prosjektet Let’s Encrypt for automatisering av innhenting og vedlikehold av sertifikater ved hjelp av ACME-protokollen (Automatic Certificate Management Environment):
    • Den andre versjonen av protokollen ACMEv2, som nĂ„ brukes som standard og bruker tomme POST-forespĂžrsel i stedet for GET.
    • StĂžtte for validering basert pĂ„ TLS-ALPN-01-utvidelsen (RFC 7301, Application-Layer Protocol Negotiation) har blitt lagt til, som brukes i HTTP/2.
    • StĂžtten for valideringsmetoden ‘tls-sni-01’ er avsluttet (pĂ„ grunn av av sĂ„rbarheten).
    • Kommandoer for Ă„ konfigurere og bryte validering med ‘dns-01’-metoden er lagt til.
    • StĂžtte lagt til masker i sertifikatene nĂ„r DNS-basert validering (‘dns-01’) er aktivert.
    • Det er implementert en ‘md-status’-behandler og en side med sertifikatstatus «https://domain/.httpd/certificate-status».
    • Direktivene «MDCertificateFile» og «MDCertificateKeyFile» for Ă„ konfigurere domeneinnstillinger via statiske filer (uten stĂžtte for automatisk oppdatering) er lagt til.
    • Direktivet «MDMessageCmd» er lagt til for Ă„ kalle eksterne kommandoer ved hendelser ‘renewed’, ‘expiring’ eller ‘errored’.
    • Direktivet «MDWarnWindow» er lagt til for Ă„ konfigurere meldinger som advarer om utlĂžp av sertifikatets gyldighet;

Kilde: opennet.ru

KjĂžp pĂ„litelig hosting for nettsteder med DDoS-beskyttelse, VPS VDS-servere đŸ”„ KjĂžp pĂ„litelig hosting for nettsteder med DDoS-beskyttelse, VPS VDS-servere | ProHoster