A fost lansată versiunea 2.4.52 a serverului HTTP Apache, care include 25 de modificări și corectează 2 vulnerabilități:
- CVE-2021-44790 — o vulnerabilitate de overflow de buffer în mod_lua, care se manifestă la analizarea cererilor formate din mai multe părți (multipart). Vulnerabilitatea afectează configurațiile în care scripturile Lua apelează funcția r:parsebody() pentru a analiza corpul cererii, permițând astfel unui atacator să provoace un overflow de buffer prin trimiterea unei cereri concepute special. Până în prezent, nu au fost identificate dovezi ale existenței unui exploit, dar problema are potențialul de a duce la executarea de cod malițios pe server.
- CVE-2021-44224 — o vulnerabilitate SSRF (Server Side Request Forgery) în mod_proxy, care permite, în configurațiile cu setarea „ProxyRequests on”, printr-o cerere cu un URI conceput special, redirecționarea cererii către un alt handler pe același server, care acceptă conexiuni prin Unix Domain Socket. Problema poate fi utilizată de asemenea pentru a provoca o cădere de sistem prin crearea condițiilor pentru dereferirea unui pointer nul. Problema afectează versiunile Apache httpd începând cu versiunea 2.4.7.
Cele mai notabile modificări, nelegate de securitate:
- În mod_ssl a fost adăugată suportul pentru compilarea cu biblioteca OpenSSL 3.
- A fost îmbunătățită identificarea bibliotecii OpenSSL în scripturile autoconf.
- În mod_proxy pentru protocoalele de tunelare a fost introdusă opțiunea de a dezactiva redirecționarea conexiunilor TCP semi-închise (half-close) prin setarea parametrului „SetEnv proxy-nohalfclose”.
- Au fost adăugate verificări suplimentare pentru a se asigura că URI-urile care nu sunt destinate proxying-ului conțin schema http/https, iar cele destinate proxying-ului conțin numele gazdelor.
- În mod_proxy_connect și mod_proxy a fost interzisă modificarea codului de stare după ce acesta a fost trimis clientului.
- La trimiterea răspunsurilor intermediare după primirea cererilor cu antetul „Expect: 100-Continue”, se asigură că se indică în rezultat starea „100 Continue”, și nu starea curentă a cererii.
- În mod_dav a fost adăugată suportul pentru extensiile CalDAV, în care la generarea proprietăților trebuie să se țină cont atât de elementele documentului, cât și de elementele proprietății. Au fost adăugate noi funcții dav_validate_root_ns(), dav_find_child_ns(), dav_find_next_ns(), dav_find_attr_ns() și dav_find_attr(), care pot fi apelate din alte module.
- În mpm_event a fost rezolvată problema cu oprirea proceselor copil inactive după un vârf de sarcină pe server.
- În mod_http2 au fost corectate schimbările regresive care duceau la comportamente incorecte în gestionarea limitărilor MaxRequestsPerChild și MaxConnectionsPerChild.
- Funcționalitățile modulului mod_md, utilizat pentru automatizarea obținerii și întreținerii certificatelor prin protocolul ACME (Automatic Certificate Management Environment), au fost extinse:
- A fost adăugată suportul pentru mecanismul ACME External Account Binding (EAB), activat prin directiva MDExternalAccountBinding. Valorile pentru EAB pot fi configurate dintr-un fișier extern în format JSON, ceea ce permite neexpunerea parametrilor de autentificare în fișierul principal. al configurației serverului.
- În directiva ‘MDCertificateAuthority’ a fost implementată verificarea specificării în parametru URL http/https sau al unuia dintre numele predefinite (‘LetsEncrypt’, ‘LetsEncrypt-Test’, ‘Buypass’ și ‘Buypass-Test’).
- A fost permisă specificarea directivei MDContactEmail în interiorul secțiunii .
- Au fost corectate mai multe erori, inclusiv o scurgere de memorie care apărea în cazul unor eșecuri la încărcarea cheii private.
Sursa: opennet.ro
