Lansarea serverului HTTP Apache 2.4.41 cu remedieri de vulnerabilități

Publicat lansarea serverului HTTP Apache 2.4.41 (versiunea 2.4.40 a fost omisă), în care sunt prezentate 23 de modificări și eliminate 6 vulnerabilități:

• CVE-2019-10081 — problemă în mod_http2, care poate duce la coruperea memoriei atunci când se trimite cereri push în stadii foarte timpurii. Utilizând setarea „H2PushResource”, se poate efectua o rescriere a zonei de memorie din pool-ul de procesare a cererilor, dar problema este limitată la prăbușiri, deoarece datele scrise nu se bazează pe informații primite de la client;
• CVE-2019-9517 — expunere recentă anunțată la o vulnerabilitate DoS în implementările HTTP/2.
  Un atacator poate epuiza memoria disponibilă procesului și crea o sarcină mare pe CPU, deschizând o fereastră glisantă HTTP/2 pentru a trimite date de către server fără restricții, dar menținând fereastra TCP închisă, ceea ce împiedică efectiv scrierea datelor în socket;
• CVE-2019-10098 — problemă în mod_rewrite, care permite serverului să redirecționeze cererile către alte resurse (redirect deschis). Unele setări mod_rewrite pot conduce la redirecționarea utilizatorului către un alt link, codificat folosind caracterul de sfârșit de linie în interiorul parametrului utilizat în redirectul existent. Pentru a bloca problema, se poate folosi flag-ul PCRE_DOTALL în RegexDefaultOptions, care este acum setat ca default;
• CVE-2019-10092 — posibilitatea de a efectua scripting intersite pe paginile de eroare afișate de mod_proxy. Pe aceste pagini, în link se introduce URL-ul obținut din cerere, în care atacatorul prin escarea caracterelor poate introduce cod HTML arbitrar;
• CVE-2019-10097 — supraîncărcarea stivei și dereferențierea unui pointer NULL în mod_remoteip, exploatat prin manipularea antetului protocolului PROXY. Atacul poate fi realizat doar din partea serverului proxy utilizat în setări, și nu prin cererea clientului;
• CVE-2019-10082 — vulnerabilitate în mod_http2, care permite la terminarea conexiunii inițierea citirii conținutului dintr-o zonă de memorie deja eliberată (read-after-free).

Cele mai notabile modificări, nelegate de securitate:

• În mod_proxy_balancer, a fost întărită protecția împotriva atacurilor XSS/XSRF din partea nodurilor de încredere;
• În mod_session, a fost adăugată setarea SessionExpiryUpdateInterval pentru a determina intervalul de actualizare a timpului de expirare a sesiunii/cookie-ului;
• A fost efectuată o curățare a paginilor cu erori, destinată evitării afișării pe aceste pagini a informațiilor din cereri;
• În mod_http2, s-a adus în vedere valoarea parametrului „LimitRequestFieldSize”, care anterior acționa doar pentru verificarea câmpurilor de antet HTTP/1.1;
• S-a asigurat configurarea mod_proxy_hcheck atunci când este utilizat în BalancerMember;
• Consumul de memorie în mod_dav a fost redus atunci când se utilizează comanda PROPFIND pe o colecție mare;
• În mod_proxy și mod_ssl, s-au rezolvat problemele legate de specificarea setărilor certificatelor și SSL în interiorul blocului Proxy;
• În mod_proxy, a fost permis aplicarea setărilor SSLProxyCheckPeer* pentru toate modulele proxy;
• Funcționalitățile modulului mod_md, dezvoltat de proiectul Let’s Encrypt pentru automatizarea obținerii și întreținerii certificatelor folosind protocolul ACME (Automatic Certificate Management Environment):
  • A fost adăugată a doua versiune a protocolului ACMEv2, care este acum utilizată implicit și folosește solicitări POST goale în loc de GET.
  • A fost adătat suportul pentru verificarea bazată pe extensia TLS-ALPN-01 (RFC 7301, Application-Layer Protocol Negotiation), care este folosită în HTTP/2.
  • S-a încetat suportul pentru metoda de verificare ‘tls-sni-01’ (deoarece vulnerabilități).
  • Au fost adăugate comenzi pentru configurarea și întreruperea verificării prin metoda ‘dns-01’.
  • A fost adăugat suport pentru maskelor în certificate atunci când este activată verificarea bazată pe DNS (‘dns-01’).
  • A fost implementat un handler ‘md-status’ și o pagină cu starea certificatului „https://domain/.httpd/certificate-status”.
  • Au fost adăugate directivele „MDCertificateFile” și „MDCertificateKeyFile” pentru configurarea parametrilor domeniilor prin fișiere statice (fără suport pentru auto-actualizare).
  • A fost adăugată directiva „MDMessageCmd” pentru a chema comenzi externe în momentul apariției evenimentelor ‘renewed’, ‘expiring’ sau ‘errored’.
  • A fost adăugată directiva „MDWarnWindow” pentru configurarea mesajului de avertizare privind expirarea certificatului;

Sursa: opennet.ro