Vydanie HTTP servera Apache 2.4.46 s odstránením zraniteľností

Zverejnené vydanie HTTP servera Apache 2.4.46 (verzie 2.4.44 a 2.4.45 boli vynechané), v ktorom sú predstavené 17 zmien a odstránené 3 zraniteľnosti:

• CVE-2020-11984 — pretečenie zásobníka v module mod_proxy_uwsgi, ktoré môže viesť k úniku informácií alebo vykonaniu kódu na serveri pri odoslaní špeciálne formátovanej požiadavky. Využitie zraniteľnosti sa uskutočňuje prostredníctvom odosielania veľmi dlhého HTTP hlavičky. Na ochranu bola pridaná blokácia hlavičiek dlhších ako 16K (obmedzenie určené v špecifikácii protokolu).
• CVE-2020-11993 — zraniteľnosť v module mod_http2, ktorá môže spôsobiť pád procesu pri odosielaní požiadavky so špeciálne formátovanou hlavičkou HTTP/2. Problém sa prejavuje pri zapnutej diagnostike alebo sledovaní v module mod_http2 a vyjadruje sa v poškodení obsahu pamäte v dôsledku závodného stavu pri uložení informácií v logu. Problém sa neprejavuje pri nastavení LogLevel na hodnotu „info“.
• CVE-2020-9490 — zraniteľnosť v module mod_http2, ktorá môže spôsobiť pád procesu pri odosielaní požiadavky so špeciálne formátovanou hodnotou hlavičky ‘Cache-Digest’ cez HTTP/2 (pád nastáva pri pokuse o vykonávanie operácie HTTP/2 PUSH pre prostriedok). Na zablokovanie zraniteľnosti je možné použiť nastavenie „H2Push off“.
• CVE-2020-11985 — zraniteľnosť mod_remoteip, ktorá umožňuje spúšťanie spoofing IP adries pri proxyovaní pomocou mod_remoteip a mod_rewrite. Problém sa prejavuje iba pre verzie od 2.4.1 do 2.4.23.

Najvýraznejšie zmeny, ktoré sa netýkajú bezpečnosti:

• Z mod_http2 bola odstránená podpora návrhovej špecifikácie kazuho-h2-cache-digest, ktorého propagácia bola zastavená.
• Zmenené správanie direktívy „LimitRequestFields“ v mod_http2, nastavenie hodnoty 0 teraz zruší obmedzenie.
• V mod_http2 bola zabezpečená manipulácia s primárnymi a sekundárnymi (master/secondary) spojeniami a označenie metód v závislosti od použitia.
• Pri prijatí nesprávneho obsahu hlavičky Last-Modified zo skriptu FCGI/CGI sa teraz táto hlavička odstraňuje, a nie nahrádza za epochálny čas (Unix epoch).
• Do kódu bola pridaná funkcia ap_parse_strict_length() na prísne parsovanie veľkosti obsahu.
• V mod_proxy_fcgi v ProxyFCGISetEnvIf bolo zabezpečené odstránenie premenných prostredia, ak daný výraz vráti False.
• Opraveno stavy závodu a možný pád mod_ssl při použití klientského certifikátu nastaveného prostřednictvím parametru SSLProxyMachineCertificateFile.
• Vyřešena únik paměti v mod_ssl.
• V mod_proxy_http2 bylo zajištěno použití parametru proxy "ping" při kontrole funkčnosti nového nebo znovu použitého spojení s backendem.
• Zastaveno spojování httpd s volbou "-lsystemd", pokud je aktivován mod_systemd.
• V mod_proxy_http2 byl zohledněn parametr ProxyTimeout při čekání na příchozí data přes spojení s backendem.

Zdroj: opennet.ru