Foi lançado o Apache HTTP Server 2.4.58, que apresenta 33 alterações e corrige três vulnerabilidades, duas das quais estão relacionadas à possibilidade de realizar um ataque DoS em sistemas que utilizam o protocolo HTTP/2.
- CVE-2023-45802 — criação de condições para o esgotamento da memória livre devido à liberação tardia da memória após o reset do fluxo HTTP/2 por um pacote com o flag RST. Como a memória não é liberada imediatamente após o processamento do flag RST, mas apenas após o fechamento da conexão, um invasor pode aumentar significativamente o consumo de memória enviando novas solicitações e resetando-as com pacotes RST sem fechar a conexão.
- CVE-2023-43622 — bloqueio infinito do processamento da conexão HTTP/2, se ela foi aberta com um tamanho inicial da janela deslizante igual a 0. Esta vulnerabilidade pode ser utilizada para causar negação de serviço esgotando o limite de conexões abertas permitidas.
- CVE-2023-31122 — vulnerabilidade no mod_macro que leva à leitura de dados fora do buffer alocado.
Entre as alterações não relacionadas à segurança:
- No mod_http2, foi adicionada a suporte ao uso do protocolo WebSocket sobre o fluxo na conexão HTTP/2 (RFC 8441). Para habilitar WebSocket sobre HTTP/2, foi proposta a diretiva 'H2WebSockets on|off'.
- No mod_http2, foi adicionada a diretiva 'H2EarlyHint name value' para incluir cabeçalhos na resposta '103 Early Hints'.
- No mod_http2, foi adicionada a diretiva 'H2ProxyRequests on|off' para controlar a inclusão do processamento de solicitações pelo protocolo HTTP/2 na configuração do proxy.
- No mod_http2, foi adicionada a diretiva 'H2MaxDataFrameLen n' para limitar o tamanho máximo do corpo da resposta em bytes, enviado em um único FRAME DATA em HTTP/2. O limite padrão é 16KB.
- O arquivo mime.types foi atualizado, onde a extensão '.js' foi vinculada ao tipo 'text/javascript' em vez de 'application/javascript' e foram adicionadas as extensões: '.mjs' (com tipo 'text/javascript') e '.opus' ('audio/ogg'). Tipos MIME e extensões aplicáveis no WebAssembly foram adicionados.
- O módulo mod_tls (alternativa ao mod_ssl em Rust) foi adaptado para utilizar a biblioteca rustls-ffi 0.9.2+.
- No módulo mod_md, foi adicionada a diretiva 'MDMatchNames all|servernames' para gerenciar a correspondência entre MDomains e o conteúdo de VirtualHosts.
- No módulo mod_md, foi adicionada a diretiva 'MDChallengeDns01Version' para escolher a versão do protocolo ACME utilizada na verificação via DNS.
- No mod_md, foi permitido o uso da diretiva MDChallengeDns01 para individuais. domínios.
- No mod_dav foi adicionada a diretiva ‘DavBasePath’ para configurar o caminho para o diretório raiz do repositório WebDav.
- No mod_alias foi adicionada a diretiva ‘AliasPreservePath’ para ser usada como o caminho completo do valor Alias no bloco Location.
- No mod_alias foi adicionada a diretiva ‘RedirectRelative’, que permite redirecionamentos usando caminhos relativos.
- Foram adicionados os especificadores de formato %{z} e %{strftime-format} à diretiva ErrorLogFormat.
- No mod_deflate foi adicionada a diretiva ‘DeflateAlterETag’ para gerenciar a alteração do ETag ao usar compressão.
- Foi otimizada a performance da função send_brigade_nonblocking().
- No mod_status, foi realizada a remoção de duplicatas das chaves ‘BusyWorkers’ e ‘IdleWorkers’, e foi adicionado um novo contador ‘GracefulWorkers’.
Fonte: opennet.ru
