lançamento do servidor HTTP Apache 2.4.43 (a versão 2.4.42 foi pulada), que apresenta e corrige :
- CVE-2020-1927: vulnerabilidade no mod_rewrite que permite o uso do servidor para redirecionar solicitações para outros recursos (redirecionamento aberto). Algumas configurações do mod_rewrite podem levar à redirecionamento do usuário para outro link, codificado com o caractere de nova linha dentro do parâmetro usado em um redirecionamento existente.
- CVE-2020-1934: vulnerabilidade no mod_proxy_ftp. O uso de valores não inicializados pode resultar em vazamento de conteúdo de memória ao encaminhar solicitações para um servidor FTP sob controle do invasor.
- Vazamento de memória no mod_ssl que ocorre ao processar solicitações OCSP.
As modificações mais notáveis, não relacionadas à segurança:
- A new module has been added , que fornece integração com o gerenciador de sistema systemd. O módulo permite usar httpd em serviços do tipo "Type=notify".
- O apxs foi adicionado com suporte à cross-compilation.
- As funcionalidades do módulo mod_md, desenvolvido pelo projeto Let's Encrypt para automatizar a obtenção e manutenção de certificados usando o protocolo ACME (Automatic Certificate Management Environment), foram ampliadas:
- Adicionada a diretiva MDContactEmail, através da qual é possível especificar um email de contato que não conflita com os dados da diretiva ServerAdmin.
- Para todos os hosts virtuais, foi garantida a verificação do suporte ao protocolo utilizado durante a negociação de um canal de comunicação seguro ("tls-alpn-01").
- As diretivas mod_md agora podem ser usadas em blocos e .
- Garantida a substituição de configurações anteriores ao reutilizar MDCAChallenges.
- Adicionada a capacidade de configurar a URL para o Monitor CTLog.
- Para comandos especificados na diretiva MDMessageCmd, foi garantida a chamada com o argumento "installed" ao ativar um novo certificado após a reinicialização do servidor (por exemplo, pode ser usado para copiar ou converter o novo certificado para outros aplicativos).
- mod_proxy_hcheck adicionou suporte para a máscara %{Content-Type} em expressões de verificação.
- No mod_usertrack, foram adicionados os modos CookieSameSite, CookieHTTPOnly e CookieSecure para configurar o processamento de Cookies de rastreamento de usuários.
- No mod_proxy_ajp, foi implementado um parâmetro "secret" para suporte ao protocolo de autenticação obsoleto AJP13 para manipuladores de proxy.
- Adicionado um conjunto de configuração para OpenWRT.
- No mod_ssl, foi adicionada a capacidade de usar chaves privadas e certificados do OpenSSL ENGINE por meio da especificação de URI PKCS#11 em SSLCertificateFile/KeyFile.
- Foi implementado o teste usando o sistema de integração contínua Travis CI.
- A análise dos cabeçalhos Transfer-Encoding foi reforçada.
- No mod_ssl, foi assegurada a negociação do protocolo TLS vinculada a hosts virtuais (suportado quando compilado com OpenSSL-1.1.1+).
- Graças à aplicação de hashing para tabelas de comandos, o reinício no modo 'graceful' (sem interromper os manipuladores de solicitações em execução) foi acelerado.
- No mod_lua, foram adicionadas as tabelas r:headers_in_table, r:headers_out_table, r:err_headers_out_table, r:notes_table e r:subprocess_env_table, disponíveis em modo somente leitura. Foi permitido atribuir o valor 'nil' às tabelas.
- No mod_authn_socache, o limite para o tamanho da string armazenável em cache foi aumentado de 100 para 256.
Fonte: opennet.ru
