ProHoster > Blogg > Internett nyheter > Utgivelse av HTTP-serveren Apache 2.4.46 med sikkerhetsfikser

Utgivelse av HTTP-serveren Apache 2.4.46 med sikkerhetsfikser

Published utgivelse av HTTP-serveren Apache 2.4.46 (utgivelsene 2.4.44 og 2.4.45 ble utelatt), der det er presentert 17 endringer og utbedret 3 sÄrbarheter:

  • CVE-2020-11984 — bufferoverlĂžp i modulen mod_proxy_uwsgi, som kan fĂžre til informasjonslekkasje eller kjĂžring av kode pĂ„ serveren ved sending av et spesiallaget forespĂžrsel. Utnyttelse av sĂ„rbarheten skjer ved Ă„ sende en veldig lang HTTP-header. Beskyttelse er lagt til ved Ă„ blokkere overskrifter som er lengre enn 16K (grensen som er definert i protokolls spesifikasjon).
  • CVE-2020-11993 — sĂ„rbarhet i modulen mod_http2, som kan forĂ„rsake en krasj i prosessen ved sending av et forespĂžrsel med en spesiallaget HTTP/2-header. Problemet viser seg ved aktivering av feilsĂžking eller sporingslogger i modulen mod_http2, og uttrykkes i skadene pĂ„ minneinnhold pĂ„ grunn av race condition ved lagring av informasjon i loggen. Problemet manifesterer seg ikke nĂ„r LogLevel er satt til «info».
  • CVE-2020-9490 — sĂ„rbarhet i modulen mod_http2, som kan forĂ„rsake en krasj i prosessen ved sending av en HTTP/2-forespĂžrsel med en spesiallaget verdi i headeren ‘Cache-Digest’ (krasjen skjer ved forsĂžk pĂ„ Ă„ utfĂžre HTTP/2 PUSH-operasjonen for ressursen). For Ă„ blokkere sĂ„rbarheten kan innstillingen «H2Push off» brukes.
  • CVE-2020-11985 — sĂ„rbarhet i mod_remoteip, som muliggjĂžr IP-adressespoofing ved proxying, ved bruk av mod_remoteip og mod_rewrite. Problemet viser seg kun for versjoner fra 2.4.1 til 2.4.23.

De mest bemerkelsesverdige endringene som ikke er relatert til sikkerhet:

  • StĂžtte for utkastspesifikasjonen mod_http2 er fjernet kazuho-h2-cache-digest, hvis fremme er stanset.
  • Adferden til direktivet «LimitRequestFields» i mod_http2 er endret; nĂ„ deaktiverer angivelse av verdien 0 begrensningen.
  • I mod_http2 er behandling av hoved- og sekundĂŠre (master/secondary) tilkoblinger og merking av metoder avhengig av bruk, sikret.
  • Ved mottak av feilaktig innhold i headeren Last-Modified fra FCGI/CGI-skript, blir denne headeren nĂ„ fjernet i stedet for Ă„ bli erstattet ved epoke-tid (Unix epoch).
  • En funksjon ap_parse_strict_length() er lagt til koden for streng parsing av innholds stĂžrrelsen.
  • I mod_proxy_fcgi i ProxyFCGISetEnvIf er det sikret at miljĂžvariabler fjernes hvis det angitte uttrykket returnerer False.
  • Fikset en konkurrerende tilstand og mulig krasj i mod_ssl ved bruk av klientsertifikat angitt gjennom innstillingen SSLProxyMachineCertificateFile.
  • Minnelekkasje i mod_ssl er fikset.
  • I mod_proxy_http2 er bruken av proxyparameteren «ping» sikret ved sjekk av tilgjengeligheten for et nytt eller gjenbrukt tilkobling til backend.
  • Bindingen av httpd med alternativet «-lsystemd» er stoppet nĂ„r mod_systemd er aktivert.
  • I mod_proxy_http2 er innstillingen ProxyTimeout tatt hensyn til ved venting pĂ„ innkommende data gjennom tilkoblinger til backend.

Kilde: opennet.ru

KjĂžp pĂ„litelig hosting for nettsteder med DDoS-beskyttelse, VPS VDS-servere đŸ”„ KjĂžp pĂ„litelig hosting for nettsteder med DDoS-beskyttelse, VPS VDS-servere | ProHoster