Foi lançado o Apache HTTP Server 2.4.52, que apresenta 25 mudanças e corrige 2 vulnerabilidades:
- CVE-2021-44790 — uma vulnerabilidade de estouro de buffer no mod_lua, que se manifesta ao analisar solicitações compostas (multipart). A vulnerabilidade afeta configurações onde scripts Lua chamam a função r:parsebody() para processar o corpo da solicitação, permitindo que um atacante provoque um estouro de buffer ao enviar uma solicitação especialmente formatada. Até o momento, não foram encontrados exploits, mas a questão pode potencialmente levar à execução de código malicioso em servidor.
- CVE-2021-44224 — uma vulnerabilidade SSRF (Server Side Request Forgery) no mod_proxy, que permite em configurações com a configuração 'ProxyRequests on' redirecionar a solicitação para outro manipulador no mesmo servidor usando um URI especialmente formatado, que aceita conexões através de Unix Domain Socket. O problema também pode ser explorado para causar uma falha ao criar condições para desreferenciá-lo. O problema afeta versões do Apache httpd a partir da versão 2.4.7.
As modificações mais notáveis, não relacionadas à segurança:
- O mod_ssl adicionou suporte para construção com a biblioteca OpenSSL 3.
- A determinação da biblioteca OpenSSL foi aprimorada em scripts autoconf.
- No mod_proxy para protocolos de tunelamento, foi adicionada a capacidade de desativar o redirecionamento de conexões TCP meio fechadas (half-close) definindo o parâmetro 'SetEnv proxy-nohalfclose'.
- Adicionadas verificações adicionais para garantir que URIs não destinados ao proxy contenham esquema http/https, e que os destinados ao proxy incluam o nome do host.
- No mod_proxy_connect e no mod_proxy, a modificação do código de estado após sua entrega ao cliente é proibida.
- Ao enviar respostas intermediárias após receber solicitações com o cabeçalho 'Expect: 100-Continue', foi garantido que o estado '100 Continue' seja indicado no resultado, em vez do estado atual da solicitação.
- No mod_dav, foi adicionada suporte para extensões CalDAV, onde ao gerar propriedades devem ser considerados tanto elementos do documento quanto elementos de propriedades. Novas funções dav_validate_root_ns(), dav_find_child_ns(), dav_find_next_ns(), dav_find_attr_ns() e dav_find_attr() foram adicionadas e podem ser chamadas de outros módulos.
- No mpm_event, foi resolvido um problema com a interrupção de processos filhos ociosos após um pico de carga no servidor.
- No mod_http2, foram corrigidas mudanças regressivas que levavam a comportamentos incorretos ao processar restrições MaxRequestsPerChild e MaxConnectionsPerChild.
- As capacidades do módulo mod_md, utilizado para automatizar a obtenção e a manutenção de certificados com o protocolo ACME (Automatic Certificate Management Environment), foram ampliadas:
- Adicionada a suporte ao mecanismo ACME External Account Binding (EAB), ativado por meio da diretiva MDExternalAccountBinding. Os valores para EAB podem ser configurados a partir de um arquivo externo no formato JSON, permitindo que parâmetros de autenticação não sejam revelados no arquivo principal. configurações do servidor.
- Na diretiva ‘MDCertificateAuthority’, foi implementada uma verificação do parâmetro URL http/https ou um dos nomes predefinidos (‘LetsEncrypt’, ‘LetsEncrypt-Test’, ‘Buypass’ e ‘Buypass-Test’).
- A diretiva MDContactEmail pode ser especificada dentro da seção .
- Vários erros foram corrigidos, incluindo um vazamento de memória que ocorria em caso de falhas ao carregar a chave privada.
Fonte: opennet.ru
