Izdanje HTTP servera Apache 2.4.58 s ispravkama DoS ranjivosti u HTTP/2

Objavljeno je izdanje HTTP servera Apache 2.4.58, koje sadrži 33 izmjene i rješava tri ranjivosti, od kojih su dvije vezane za mogućnost izvođenja DoS napada na sustave koji koriste protokol HTTP/2.

• CVE-2023-45802 — stvaranje uvjeta za iscrpljivanje slobodne memorije zbog odgođenog oslobađanja memorije nakon resetiranja HTTP/2 toka RST paketom. Kako se memorija ne oslobađa odmah nakon obrade RST flag-a, nego tek nakon zatvaranja veze, napadač može značajno povećati potrošnju memorije slanjem novih zahtjeva i resetiranjem RST paketom, ne zatvarajući pri tome vezu.
• CVE-2023-43622 — beskonačno blokiranje obrade HTTP/2 veze ako je otvorena s postavkom početne veličine kliznog prozora na 0. Ranjivost se može iskoristiti za organiziranje nepristupačnosti usluge kroz iscrpljivanje limita za maksimalan broj otvorenih veza.
• CVE-2023-31122 — ranjivost u mod_macro koja omogućava čitanje podataka izvan dodijeljenog bafera.

Među promjenama koje nisu povezane s sigurnošću:

• U mod_http2 dodana je podrška za korištenje WebSocket protokola preko toka u HTTP/2 (RFC 8441). Za omogućavanje WebSocket-a preko HTTP/2 predložena je direktiva ‘H2WebSockets on|off’.
• U mod_http2 dodana je direktiva ‘H2EarlyHint name value’ za dodavanje hedera u odgovor ‘103 Early Hints’.
• U mod_http2 dodana je direktiva ‘H2ProxyRequests on|off’ za upravljanje uključivanjem obrade zahtjeva preko HTTP/2 u proxy konfiguraciji.
• U mod_http2 dodana je direktiva ‘H2MaxDataFrameLen n’ za ograničenje maksimalne veličine tijela odgovora u bajtovima, koje se prenosi u jednom DATA okviru u HTTP/2. Prema zadanim postavkama, limit je postavljen na 16KB.
• Ažuriran je mime.types fajl, u kojem je ekstenzija ‘.js’ povezana s tipom ‘text/javascript’ umjesto ‘application/javascript’ te su dodane ekstenzije: ‘.mjs’ (s tipom ‘text/javascript’) i ‘.opus’ (‘audio/ogg’). Dodani su MIME tipovi i ekstenzije korištene u WebAssembly.
• Modul mod_tls (alternativa mod_ssl napisana u Rust-u) prebačen je na korištenje biblioteke rustls-ffi 0.9.2+.
• U modul mod_md dodana je direktiva ‘MDMatchNames all|servernames’ za upravljanje usklađivanjem MDomains s sadržajem Virtual Hosts.
• U modul mod_md dodana je direktiva ‘MDChallengeDns01Version’ za odabir verzije ACME protokola koji se koristi prilikom verifikacije putem DNS-a.
• V mod_md je omogočena uporaba direktive MDChallengeDns01 za posamezne domena.
• V mod_dav je dodana direktiva ‘DavBasePath’ za nastavitev poti do korena repozitorija WebDav.
• V mod_alias je dodana direktiva ‘AliasPreservePath’ za uporabo celotne poti vrednosti Alias v bloku Location.
• V mod_alias je dodana direktiva ‘RedirectRelative’, ki omogoča preusmeritev z uporabo relativnih poti.
• V direktivo ErrorLogFormat so dodani formatni specifikatorji %{z} in %{strftime-format}.
• V mod_deflate je dodana direktiva ‘DeflateAlterETag’ za upravljanje sprememb ETag pri uporabi stiskanja.
• Optimizirana je bila zmogljivost funkcije send_brigade_nonblocking().
• V mod_status je bila odstranjena podvajanja ključev «BusyWorkers» in «IdleWorkers», dodan je nov števec «GracefulWorkers».

Izvor: opennet.ru