Bol vydaný release HTTP servera Apache 2.4.52, ktorý obsahuje 25 zmien a opravuje 2 zraniteľnosti:
- CVE-2021-44790 — pretečenie vyrovnávacej pamäte v mod_lua, ktoré sa prejavuje pri spracovaní požiadaviek pozostávajúcich z viacerých častí (multipart). Zraniteľnosť sa týka konfigurácií, v ktorých Lua skripty volajú funkciu r:parsebody() na spracovanie tela požiadavky, a umožňuje útočníkovi dosiahnuť pretečenie vyrovnávacej pamäte zaslaním špeciálne upravenej požiadavky. Zatiaľ neboli zistené žiadne skutočnosti o existencii exploitov, ale potenciálne by tento problém mohol viesť k vykonávaniu vlastného kódu na serveri.
- CVE-2021-44224 — zraniteľnosť SSRF (Server Side Request Forgery) v mod_proxy, ktorá umožňuje v konfiguráciách s nastavením „ProxyRequests on“ prostredníctvom špeciálne upravenej URI požiadavky presmerovať požiadavku na iný spracovateľ na tom istom serveri, ktorý prijíma spojenia cez Unix Domain Socket. Tento problém sa dá taktiež využiť na spôsobenie pádu vytvorením podmienok na dereferencovanie nulového ukazovateľa. Problém sa týka verzií Apache httpd od verzie 2.4.7.
Najvýraznejšie zmeny, ktoré sa netýkajú bezpečnosti:
- V mod_ssl bola pridaná podpora pre stavbu s knižnicou OpenSSL 3.
- Zlepšené určenie knižnice OpenSSL v skriptoch autoconf.
- V mod_proxy pre protokoly tunelovania bola poskytnutá možnosť vypnúť presmerovanie čiastočne otvorených (half-close) TCP spojení nastavením parametra „SetEnv proxy-nohalfclose“.
- Boli pridané dodatočné kontroly, že URI, ktoré nie sú určené na proxy, obsahujú schému http/https, a že tie, ktoré sú určené na proxy, obsahujú názov hostiteľa.
- V mod_proxy_connect a mod_proxy bolo zakázané zmenenie kódu stavu po jeho odoslaní klientovi.
- Pri odosielaní medzi výsledkových odpovedí po prijatí požiadaviek s hlavičkou „Expect: 100-Continue“ sa vráti stav „100 Continue“, a nie aktuálny stav požiadavky.
- V mod_dav bola pridaná podpora pre rozšírenia CalDAV, v ktorých musia byť pri generovaní vlastnosti zohľadnené ako prvky dokumentu, tak aj prvky vlastnosti. Boli pridané nové funkcie dav_validate_root_ns(), dav_find_child_ns(), dav_find_next_ns(), dav_find_attr_ns() a dav_find_attr(), ktoré je možné volať z iných modulov.
- V mpm_event bol vyriešený problém so zastavením nevyužitých podprocesov po náraze záťaže servera.
- V mod_http2 boli odstránené regresívne zmeny, ktoré spôsobovali nesprávne správanie pri spracovaní obmedzení MaxRequestsPerChild a MaxConnectionsPerChild.
- Rozšírené možnosti modulu mod_md, ktorý sa používa na automatizáciu získavania a správy certifikátov pomocou protokolu ACME (Automatizované spravovanie certifikátov):
- Pridaná podpora mechanizmu ACME External Account Binding (EAB), ktorý sa aktivuje pomocou direktívy MDExternalAccountBinding. Hodnoty pre EAB môžu byť nastavené z externého súboru vo formáte JSON, čo umožňuje nezverejniť autentifikačné parametre v hlavnom súbore. konfigurácie servera.
- V direktíve ‘MDCertificateAuthority’ bola zabezpečená kontrola uvedenia URL http/https alebo jedného z preddefinovaných názvov (‘LetsEncrypt’, ‘LetsEncrypt-Test’, ‘Buypass’ a ‘Buypass-Test’).
- Umožnené uvedenie direktívy MDContactEmail vnútri sekcie .
- Opravených niekoľko chýb, vrátane odstránenia úniku pamäte, ktorý nastal pri zlyhaniach pri načítaní súkromného kľúča.
Zdroj: opennet.ru
