Lançamento do servidor HTTP Apache 2.4.41 com correções de vulnerabilidades

Publicado lançamento do servidor HTTP Apache 2.4.41 (o lançamento 2.4.40 foi pulado), que apresenta 23 alterações e corrige 6 vulnerabilidades:

• CVE-2019-10081 — problema no mod_http2 que pode levar a corrupção de memória ao enviar solicitações push em um estágio muito inicial. Com a configuração 'H2PushResource', pode ocorrer sobrescrição de área de memória no pool de processamento de solicitações, mas o problema é limitado a falhas, já que os dados gravados não se baseiam em informações recebidas do cliente;
• CVE-2019-9517 — uma vulnerabilidade recentemente anunciada descoberta de DoS nas implementações HTTP/2.
  Um atacante pode esgotar a memória disponível do processo e criar uma grande carga na CPU, abrindo uma janela deslizante HTTP/2 para o envio de dados sem restrições pelo servidor, mantendo a janela TCP fechada, o que impede a gravação efetiva dos dados no soquete;
• CVE-2019-10098 — problema no mod_rewrite que permite ao servidor redirecionar requisições para outros recursos (open redirect). Algumas configurações do mod_rewrite podem levar a redirecionamentos de usuários para outro link, codificado com o caractere de nova linha dentro do parâmetro usado em um redirecionamento existente. Para bloquear o problema em RegexDefaultOptions, pode-se usar a flag PCRE_DOTALL, que agora é padrão;
• CVE-2019-10092 — possibilidade de execução de scripts entre sites nas páginas de erro exibidas pelo mod_proxy. Nessas páginas, o link inclui a URL recebida da solicitação, na qual um atacante, por meio de escaping de caracteres, pode inserir HTML arbitrário;
• CVE-2019-10097 — estouro de pilha e desreferenciamento de ponteiro NULL no mod_remoteip, explorável por meio de manipulações no cabeçalho do protocolo PROXY. O ataque pode ser realizado apenas pelo proxy configurado, e não através da solicitação do cliente;
• CVE-2019-10082 — vulnerabilidade no mod_http2 que permite, no momento do fechamento da conexão, iniciar a leitura de conteúdo de uma área de memória já liberada (read-after-free).

As modificações mais notáveis, não relacionadas à segurança:

• No mod_proxy_balancer, a proteção contra ataques XSS/XSRF a partir de nós confiáveis foi reforçada;
• No mod_session, foi adicionada a configuração SessionExpiryUpdateInterval para determinar o intervalo de atualização do tempo de expiração da sessão/cookie;
• Foi feita uma limpeza nas páginas de erro para evitar a saída de informações dessas páginas proveniente de solicitações;
• No mod_http2, foi assegurado o respeito pelo parâmetro "LimitRequestFieldSize", que anteriormente só se aplicava à verificação dos campos dos cabeçalhos HTTP/1.1;
• Foi garantida a criação da configuração mod_proxy_hcheck ao utilizá-la em BalancerMember;
• O consumo de memória no mod_dav foi reduzido ao usar o comando PROPFIND em uma grande coleção;
• No mod_proxy e mod_ssl, foram resolvidos os problemas com a especificação das configurações de certificados e SSL dentro do bloco Proxy;
• No mod_proxy, foi permitido o uso das configurações SSLProxyCheckPeer* para todos os módulos de proxy;
• As capacidades do módulo mod_md, desenvolvido pelo projeto Let’s Encrypt para automação da aquisição e manutenção de certificados utilizando o protocolo ACME (Automatic Certificate Management Environment):
  • Adicionada a segunda versão do protocolo ACMEv2, que agora é aplicado por padrão e usa requisições POST vazias ao invés de GET.
  • Adicionada a suporte à verificação baseada na extensão TLS-ALPN-01 (RFC 7301, Application-Layer Protocol Negotiation), que é utilizada no HTTP/2.
  • Cessou o suporte ao método de verificação 'tls-sni-01' (devido a no aplicativo para Windows, que permitia ao usuário elevar seus privilégios no sistema para administrador (a vulnerabilidade foi causada pela interação inadequada entre o cliente GUI sem privilégios e o serviço de sistema).).
  • Adicionadas comandos para configurar e encerrar a verificação pelo método 'dns-01'.
  • Suporte adicionado de máscaras nos certificados ao habilitar a verificação baseada em DNS ('dns-01').
  • Implementado o manipulador 'md-status' e a página com o estado do certificado "https://domain/.httpd/certificate-status".
  • Adicionadas as diretivas "MDCertificateFile" e "MDCertificateKeyFile" para configurar os parâmetros dos domínios através de arquivos estáticos (sem suporte para autoatualização).
  • Adicionada a diretiva "MDMessageCmd" para chamar comandos externos durante os eventos 'renewed', 'expiring' ou 'errored'.
  • Adicionada a diretiva "MDWarnWindow" para configurar uma mensagem de aviso sobre a expiração do certificado;

Fonte: opennet.ru