ਅਪਾਚੇ 2.4.41 HTTP ਸਰਵਰ ਦੀ ਰੀਲੀਜ਼ ਕਮਜ਼ੋਰੀ ਫਿਕਸ ਕੀਤੀ ਗਈ ਹੈ

ਪ੍ਰਕਾਸ਼ਿਤ ਅਪਾਚੇ HTTP ਸਰਵਰ 2.4.41 ਦੀ ਰੀਲਿਜ਼ (ਰਿਲੀਜ਼ 2.4.40 ਨੂੰ ਛੱਡ ਦਿੱਤਾ ਗਿਆ ਸੀ), ਜੋ ਪੇਸ਼ ਕੀਤਾ ਗਿਆ ਸੀ 23 ਬਦਲਾਅ ਅਤੇ ਖਤਮ ਕੀਤਾ 6 ਕਮਜ਼ੋਰੀਆਂ:

• CVE-2019-10081 mod_http2 ਵਿੱਚ ਇੱਕ ਮੁੱਦਾ ਹੈ ਜੋ ਬਹੁਤ ਹੀ ਸ਼ੁਰੂਆਤੀ ਪੜਾਅ 'ਤੇ ਪੁਸ਼ ਬੇਨਤੀਆਂ ਭੇਜਣ ਵੇਲੇ ਮੈਮੋਰੀ ਖਰਾਬ ਹੋ ਸਕਦਾ ਹੈ। "H2PushResource" ਸੈਟਿੰਗ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਸਮੇਂ, ਬੇਨਤੀ ਪ੍ਰੋਸੈਸਿੰਗ ਪੂਲ ਵਿੱਚ ਮੈਮੋਰੀ ਨੂੰ ਓਵਰਰਾਈਟ ਕਰਨਾ ਸੰਭਵ ਹੈ, ਪਰ ਸਮੱਸਿਆ ਇੱਕ ਕਰੈਸ਼ ਤੱਕ ਸੀਮਿਤ ਹੈ ਕਿਉਂਕਿ ਲਿਖਿਆ ਜਾ ਰਿਹਾ ਡੇਟਾ ਕਲਾਇੰਟ ਤੋਂ ਪ੍ਰਾਪਤ ਜਾਣਕਾਰੀ 'ਤੇ ਅਧਾਰਤ ਨਹੀਂ ਹੈ;
• CVE-2019-9517 - ਤਾਜ਼ਾ ਐਕਸਪੋਜਰ ਐਲਾਨ ਕੀਤਾ HTTP/2 ਲਾਗੂਕਰਨ ਵਿੱਚ DoS ਕਮਜ਼ੋਰੀਆਂ।
  ਇੱਕ ਹਮਲਾਵਰ ਇੱਕ ਪ੍ਰਕਿਰਿਆ ਲਈ ਉਪਲਬਧ ਮੈਮੋਰੀ ਨੂੰ ਖਤਮ ਕਰ ਸਕਦਾ ਹੈ ਅਤੇ ਬਿਨਾਂ ਪਾਬੰਦੀਆਂ ਦੇ ਡੇਟਾ ਭੇਜਣ ਲਈ ਸਰਵਰ ਲਈ ਇੱਕ ਸਲਾਈਡਿੰਗ HTTP/2 ਵਿੰਡੋ ਖੋਲ੍ਹ ਕੇ ਇੱਕ ਭਾਰੀ CPU ਲੋਡ ਬਣਾ ਸਕਦਾ ਹੈ, ਪਰ TCP ਵਿੰਡੋ ਨੂੰ ਬੰਦ ਰੱਖ ਕੇ, ਡੇਟਾ ਨੂੰ ਅਸਲ ਵਿੱਚ ਸਾਕਟ ਵਿੱਚ ਲਿਖੇ ਜਾਣ ਤੋਂ ਰੋਕਦਾ ਹੈ;

• CVE-2019-10098 - mod_rewrite ਵਿੱਚ ਇੱਕ ਸਮੱਸਿਆ, ਜੋ ਤੁਹਾਨੂੰ ਬੇਨਤੀਆਂ ਨੂੰ ਹੋਰ ਸਰੋਤਾਂ (ਓਪਨ ਰੀਡਾਇਰੈਕਟ) ਲਈ ਅੱਗੇ ਭੇਜਣ ਲਈ ਸਰਵਰ ਦੀ ਵਰਤੋਂ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦੀ ਹੈ। ਕੁਝ mod_rewrite ਸੈਟਿੰਗਾਂ ਦੇ ਨਤੀਜੇ ਵਜੋਂ ਉਪਭੋਗਤਾ ਨੂੰ ਕਿਸੇ ਹੋਰ ਲਿੰਕ 'ਤੇ ਅੱਗੇ ਭੇਜਿਆ ਜਾ ਸਕਦਾ ਹੈ, ਮੌਜੂਦਾ ਰੀਡਾਇਰੈਕਟ ਵਿੱਚ ਵਰਤੇ ਗਏ ਪੈਰਾਮੀਟਰ ਦੇ ਅੰਦਰ ਇੱਕ ਨਵੀਂ ਲਾਈਨ ਅੱਖਰ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਏਨਕੋਡ ਕੀਤਾ ਗਿਆ ਹੈ। RegexDefaultOptions ਵਿੱਚ ਸਮੱਸਿਆ ਨੂੰ ਰੋਕਣ ਲਈ, ਤੁਸੀਂ PCRE_DOTALL ਫਲੈਗ ਦੀ ਵਰਤੋਂ ਕਰ ਸਕਦੇ ਹੋ, ਜੋ ਕਿ ਹੁਣ ਮੂਲ ਰੂਪ ਵਿੱਚ ਸੈੱਟ ਹੈ;
• CVE-2019-10092 - mod_proxy ਦੁਆਰਾ ਪ੍ਰਦਰਸ਼ਿਤ ਗਲਤੀ ਪੰਨਿਆਂ 'ਤੇ ਕਰਾਸ-ਸਾਈਟ ਸਕ੍ਰਿਪਟਿੰਗ ਕਰਨ ਦੀ ਯੋਗਤਾ। ਇਹਨਾਂ ਪੰਨਿਆਂ 'ਤੇ, ਲਿੰਕ ਵਿੱਚ ਬੇਨਤੀ ਤੋਂ ਪ੍ਰਾਪਤ ਕੀਤਾ URL ਸ਼ਾਮਲ ਹੁੰਦਾ ਹੈ, ਜਿਸ ਵਿੱਚ ਇੱਕ ਹਮਲਾਵਰ ਅੱਖਰ ਤੋਂ ਬਚਣ ਦੁਆਰਾ ਮਨਮਾਨੇ HTML ਕੋਡ ਨੂੰ ਪਾ ਸਕਦਾ ਹੈ;
• CVE-2019-10097 — mod_remoteip ਵਿੱਚ ਸਟੈਕ ਓਵਰਫਲੋ ਅਤੇ NULL ਪੁਆਇੰਟਰ ਡੀਰੇਫਰੈਂਸ, PROXY ਪ੍ਰੋਟੋਕੋਲ ਹੈਡਰ ਦੀ ਹੇਰਾਫੇਰੀ ਦੁਆਰਾ ਸ਼ੋਸ਼ਣ ਕੀਤਾ ਗਿਆ। ਹਮਲਾ ਸਿਰਫ਼ ਸੈਟਿੰਗਾਂ ਵਿੱਚ ਵਰਤੇ ਗਏ ਪ੍ਰੌਕਸੀ ਸਰਵਰ ਦੇ ਪਾਸੇ ਤੋਂ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ, ਨਾ ਕਿ ਕਲਾਇੰਟ ਦੀ ਬੇਨਤੀ ਰਾਹੀਂ;
• CVE-2019-10082 - mod_http2 ਵਿੱਚ ਇੱਕ ਕਮਜ਼ੋਰੀ ਜੋ ਕਨੈਕਸ਼ਨ ਸਮਾਪਤੀ ਦੇ ਸਮੇਂ, ਪਹਿਲਾਂ ਤੋਂ ਹੀ ਮੁਕਤ ਮੈਮੋਰੀ ਖੇਤਰ (ਪੜ੍ਹਨ ਤੋਂ ਬਾਅਦ-ਮੁਫ਼ਤ) ਤੋਂ ਸਮੱਗਰੀ ਨੂੰ ਪੜ੍ਹਨਾ ਸ਼ੁਰੂ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦੀ ਹੈ।

ਸਭ ਤੋਂ ਮਹੱਤਵਪੂਰਨ ਗੈਰ-ਸੁਰੱਖਿਆ ਤਬਦੀਲੀਆਂ:

• mod_proxy_balancer ਨੇ ਭਰੋਸੇਯੋਗ ਸਾਥੀਆਂ ਤੋਂ XSS/XSRF ਹਮਲਿਆਂ ਤੋਂ ਸੁਰੱਖਿਆ ਵਿੱਚ ਸੁਧਾਰ ਕੀਤਾ ਹੈ;
• ਸੈਸ਼ਨ/ਕੂਕੀ ਦੀ ਮਿਆਦ ਪੁੱਗਣ ਦੇ ਸਮੇਂ ਨੂੰ ਅੱਪਡੇਟ ਕਰਨ ਲਈ ਅੰਤਰਾਲ ਨਿਰਧਾਰਤ ਕਰਨ ਲਈ mod_session ਵਿੱਚ ਇੱਕ SessionExpiryUpdateInterval ਸੈਟਿੰਗ ਸ਼ਾਮਲ ਕੀਤੀ ਗਈ ਹੈ;
• ਗਲਤੀਆਂ ਵਾਲੇ ਪੰਨਿਆਂ ਨੂੰ ਸਾਫ਼ ਕੀਤਾ ਗਿਆ ਸੀ, ਜਿਸਦਾ ਉਦੇਸ਼ ਇਹਨਾਂ ਪੰਨਿਆਂ 'ਤੇ ਬੇਨਤੀਆਂ ਤੋਂ ਜਾਣਕਾਰੀ ਦੇ ਪ੍ਰਦਰਸ਼ਨ ਨੂੰ ਖਤਮ ਕਰਨਾ ਸੀ;
• mod_http2 "LimitRequestFieldSize" ਪੈਰਾਮੀਟਰ ਦੇ ਮੁੱਲ ਨੂੰ ਧਿਆਨ ਵਿੱਚ ਰੱਖਦਾ ਹੈ, ਜੋ ਪਹਿਲਾਂ ਸਿਰਫ਼ HTTP/1.1 ਸਿਰਲੇਖ ਖੇਤਰਾਂ ਦੀ ਜਾਂਚ ਕਰਨ ਲਈ ਵੈਧ ਸੀ;
• ਇਹ ਸੁਨਿਸ਼ਚਿਤ ਕਰਦਾ ਹੈ ਕਿ mod_proxy_hcheck ਸੰਰਚਨਾ ਉਦੋਂ ਬਣਾਈ ਗਈ ਹੈ ਜਦੋਂ BalancerMember ਵਿੱਚ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ;
• ਇੱਕ ਵੱਡੇ ਭੰਡਾਰ 'ਤੇ PROPFIND ਕਮਾਂਡ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਸਮੇਂ mod_dav ਵਿੱਚ ਮੈਮੋਰੀ ਦੀ ਖਪਤ ਘਟਾਈ ਗਈ;
• mod_proxy ਅਤੇ mod_ssl ਵਿੱਚ, ਪਰਾਕਸੀ ਬਲਾਕ ਦੇ ਅੰਦਰ ਪ੍ਰਮਾਣ-ਪੱਤਰ ਅਤੇ SSL ਸੈਟਿੰਗਾਂ ਨੂੰ ਨਿਰਧਾਰਤ ਕਰਨ ਦੀਆਂ ਸਮੱਸਿਆਵਾਂ ਹੱਲ ਹੋ ਗਈਆਂ ਹਨ;
• mod_proxy SSLProxyCheckPeer* ਸੈਟਿੰਗਾਂ ਨੂੰ ਸਾਰੇ ਪ੍ਰੌਕਸੀ ਮੋਡੀਊਲਾਂ 'ਤੇ ਲਾਗੂ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ;
• ਮੋਡੀਊਲ ਸਮਰੱਥਾਵਾਂ ਦਾ ਵਿਸਤਾਰ ਕੀਤਾ ਗਿਆ mod_md, ਵਿਕਸਿਤ ਆਓ ACME (ਆਟੋਮੈਟਿਕ ਸਰਟੀਫਿਕੇਟ ਮੈਨੇਜਮੈਂਟ ਐਨਵਾਇਰਮੈਂਟ) ਪ੍ਰੋਟੋਕੋਲ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਸਰਟੀਫਿਕੇਟਾਂ ਦੀ ਰਸੀਦ ਅਤੇ ਰੱਖ-ਰਖਾਅ ਨੂੰ ਸਵੈਚਾਲਤ ਕਰਨ ਲਈ ਪ੍ਰੋਜੈਕਟ ਨੂੰ ਐਨਕ੍ਰਿਪਟ ਕਰੀਏ:
  • ਪ੍ਰੋਟੋਕੋਲ ਦਾ ਦੂਜਾ ਸੰਸਕਰਣ ਜੋੜਿਆ ਗਿਆ ACMEv2, ਜੋ ਕਿ ਹੁਣ ਡਿਫਾਲਟ ਹੈ ਅਤੇ ਵਰਤਦਾ ਹੈ GET ਦੀ ਬਜਾਏ ਖਾਲੀ POST ਬੇਨਤੀਆਂ।
  • TLS-ALPN-01 ਐਕਸਟੈਂਸ਼ਨ (RFC 7301, ਐਪਲੀਕੇਸ਼ਨ-ਲੇਅਰ ਪ੍ਰੋਟੋਕੋਲ ਨੈਗੋਸ਼ੀਏਸ਼ਨ), ਜੋ ਕਿ HTTP/2 ਵਿੱਚ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ, ਦੇ ਆਧਾਰ 'ਤੇ ਪੁਸ਼ਟੀਕਰਨ ਲਈ ਸਮਰਥਨ ਜੋੜਿਆ ਗਿਆ ਹੈ।
  • 'tls-sni-01' ਤਸਦੀਕ ਵਿਧੀ ਲਈ ਸਮਰਥਨ ਬੰਦ ਕਰ ਦਿੱਤਾ ਗਿਆ ਹੈ (ਕਾਰਨ ਕਮਜ਼ੋਰੀਆਂ).
  • 'dns-01' ਵਿਧੀ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਚੈਕ ਨੂੰ ਸਥਾਪਤ ਕਰਨ ਅਤੇ ਤੋੜਨ ਲਈ ਕਮਾਂਡਾਂ ਸ਼ਾਮਲ ਕੀਤੀਆਂ ਗਈਆਂ।
  • ਸਹਿਯੋਗ ਜੋੜਿਆ ਗਿਆ ਮਾਸਕ ਸਰਟੀਫਿਕੇਟਾਂ ਵਿੱਚ ਜਦੋਂ DNS-ਆਧਾਰਿਤ ਤਸਦੀਕ ਯੋਗ ਹੁੰਦੀ ਹੈ ('dns-01')।
  • ਲਾਗੂ ਕੀਤਾ 'md-status' ਹੈਂਡਲਰ ਅਤੇ ਸਰਟੀਫਿਕੇਟ ਸਥਿਤੀ ਪੰਨਾ 'https://domain/.httpd/certificate-status'।
  • ਸਥਿਰ ਫਾਈਲਾਂ (ਆਟੋ-ਅੱਪਡੇਟ ਸਮਰਥਨ ਤੋਂ ਬਿਨਾਂ) ਦੁਆਰਾ ਡੋਮੇਨ ਪੈਰਾਮੀਟਰਾਂ ਨੂੰ ਕੌਂਫਿਗਰ ਕਰਨ ਲਈ "MDCertificateFile" ਅਤੇ "MDCertificateKeyFile" ਨਿਰਦੇਸ਼ ਸ਼ਾਮਲ ਕੀਤੇ ਗਏ ਹਨ।
  • ਬਾਹਰੀ ਕਮਾਂਡਾਂ ਨੂੰ ਕਾਲ ਕਰਨ ਲਈ "MDMessageCmd" ਨਿਰਦੇਸ਼ ਸ਼ਾਮਲ ਕੀਤਾ ਗਿਆ ਜਦੋਂ 'ਨਵੀਨੀਕਰਨ', 'ਮਿਆਦ ਸਮਾਪਤ' ਜਾਂ 'ਗਲਤੀ' ਘਟਨਾਵਾਂ ਵਾਪਰਦੀਆਂ ਹਨ।
  • ਸਰਟੀਫਿਕੇਟ ਦੀ ਮਿਆਦ ਪੁੱਗਣ ਬਾਰੇ ਚੇਤਾਵਨੀ ਸੰਦੇਸ਼ ਨੂੰ ਸੰਰਚਿਤ ਕਰਨ ਲਈ "MDWarnWindow" ਨਿਰਦੇਸ਼ ਸ਼ਾਮਲ ਕੀਤਾ ਗਿਆ;

ਸਰੋਤ: opennet.ru