lançamento do servidor HTTP Apache 2.4.46 (as versões 2.4.44 e 2.4.45 foram puladas), que apresenta e corrige :
- — uma vulnerabilidade de estouro de buffer no módulo mod_proxy_uwsgi, que pode resultar em vazamento de informações ou execução de código no servidor ao enviar uma solicitação especificamente formatada. A exploração da vulnerabilidade é feita através da transmissão de um cabeçalho HTTP muito longo. Para proteção, foi adicionada uma limitação de cabeçalhos com mais de 16K (limite definido na especificação do protocolo).
- — uma vulnerabilidade no módulo mod_http2 que permite a falha do processo ao enviar uma solicitação com um cabeçalho HTTP/2 especificamente formatado. O problema se manifesta ao ativar a depuração ou rastreamento no módulo mod_http2 e resulta na corrupção do conteúdo da memória devido a uma condição de corrida ao registrar informações no log. O problema não se manifesta ao definir o LogLevel como "info".
- — uma vulnerabilidade no módulo mod_http2 que permite a falha do processo ao enviar uma solicitação com um valor de cabeçalho ‘Cache-Digest’ especificamente formatado através do HTTP/2 (a falha ocorre ao tentar realizar uma operação HTTP/2 PUSH para um recurso). Para bloquear a vulnerabilidade, pode-se usar a configuração "H2Push off".
- — uma vulnerabilidade no mod_remoteip que permite spoofing de endereços IP ao fazer proxy, usando mod_remoteip e mod_rewrite. O problema se manifesta apenas em versões de 2.4.1 a 2.4.23.
As modificações mais notáveis, não relacionadas à segurança:
- O suporte à especificação de rascunho foi removido de mod_http2 , cuja promoção foi descontinuada.
- O comportamento da diretiva "LimitRequestFields" em mod_http2 foi alterado, agora definir o valor como 0 desativa a limitação.
- Em mod_http2, foi garantido o tratamento das conexões principais e secundárias (master/secondary) e a sinalização dos métodos conforme o uso.
- Caso um conteúdo de cabeçalho Last-Modified incorreto seja recebido de um script FCGI/CGI, este cabeçalho agora é removido, em vez de substituído pelo tempo da era Unix.
- Uma função ap_parse_strict_length() foi adicionada ao código para análise rigorosa do tamanho do conteúdo.
- Em mod_proxy_fcgi, no ProxyFCGISetEnvIf, foi garantida a remoção de variáveis de ambiente se a expressão fornecida retornar False.
- Corrigido uma condição de corrida e possível falha do mod_ssl ao usar um certificado de cliente configurado através da opção SSLProxyMachineCertificateFile.
- Correção de vazamento de memória no mod_ssl.
- No mod_proxy_http2, foi possível utilizar o parâmetro de proxy «» ao verificar a funcionalidade de uma nova ou reutilizada conexão com o backend.
- Desabilitada a vinculação do httpd com a opção «-lsystemd», se o mod_systemd estiver ativado.
- No mod_proxy_http2, foi considerado o ajuste ProxyTimeout ao aguardar dados de entrada através das conexões com o backend.
Fonte: opennet.ru
