lansarea serverului Apache HTTP 2.4.46 (versiunile 2.4.44 și 2.4.45 au fost omise), care a introdus si eliminate :
- — o depășire a memoriei tampon în modulul mod_proxy_uwsgi, care poate duce la scurgeri de informații sau la executarea codului pe server atunci când trimiteți o solicitare special concepută. Vulnerabilitatea este exploatată prin trimiterea unui antet HTTP foarte lung. Pentru protecție, a fost adăugată blocarea antetelor mai lungi de 16K (o limită definită în specificația protocolului).
- — o vulnerabilitate în modulul mod_http2 care permite procesului să se blocheze atunci când se trimite o solicitare cu un antet HTTP/2 special conceput. Problema se manifestă atunci când depanarea sau urmărirea este activată în modulul mod_http2 și se reflectă în coruperea conținutului memoriei din cauza unei condiții de concurență la salvarea informațiilor în jurnal. Problema nu apare atunci când LogLevel este setat la „info”.
- — o vulnerabilitate în modulul mod_http2 care permite unui proces să se blocheze atunci când trimite o solicitare prin HTTP/2 cu o valoare de antet „Cache-Digest” formatată special (crash-ul are loc atunci când se încearcă efectuarea unei operații HTTP/2 PUSH pe o resursă) . Pentru a bloca vulnerabilitatea, puteți utiliza setarea „H2Push off”.
- — Vulnerabilitatea mod_remoteip, care vă permite să falsificați adresele IP în timpul proxy-ului folosind mod_remoteip și mod_rewrite. Problema apare doar pentru versiunile 2.4.1 până la 2.4.23.
Cele mai notabile modificări non-securitate sunt:
- Suportul pentru specificația schiță a fost eliminat din mod_http2 , a cărui promovare a fost oprită.
- S-a schimbat comportamentul directivei „LimitRequestFields” în mod_http2, specificarea unei valori de 0 dezactivează acum limita.
- mod_http2 oferă procesarea conexiunilor primare și secundare (master/secundar) și marcarea metodelor în funcție de utilizare.
- Dacă se primește conținut incorect al antetului Last-Modified dintr-un script FCGI/CGI, acest antet este acum eliminat mai degrabă decât înlocuit în perioada Unix.
- Funcția ap_parse_strict_length() a fost adăugată la cod pentru a analiza strict dimensiunea conținutului.
- ProxyFCGISetEnvIf de la Mod_proxy_fcgi asigură că variabilele de mediu sunt eliminate dacă expresia dată returnează False.
- S-a remediat o condiție de cursă și un posibil blocaj mod_ssl atunci când se folosește un certificat de client specificat prin setarea SSLProxyMachineCertificateFile.
- S-a rezolvat pierderea memoriei în mod_ssl.
- mod_proxy_http2 oferă utilizarea parametrului proxy "» când verificați funcționalitatea unei conexiuni noi sau reutilizate la backend.
- S-a oprit legarea httpd cu opțiunea „-lsystemd” când mod_systemd este activat.
- mod_proxy_http2 asigură că setarea ProxyTimeout este luată în considerare atunci când așteptați datele primite prin conexiunile la backend.
Sursa: opennet.ru