Izid http strežnika Apache 2.4.41 z odpravo ranljivosti

Objavljeno izdaja HTTP servera Apache 2.4.41 (izdaja 2.4.40 je propuštena), koja predstavlja 23 promjena i ispravljena 6 ranjivosti:

• CVE-2019-10081 — problem u mod_http2, koji može dovesti do oštećenja memorije prilikom slanja push zahteva u veoma ranoj fazi. Kada se koristi opcija 'H2PushResource', moguće je prepisati deo memorije u pravu za obradu zahteva, ali je problem ograničen na pad sistema jer podaci koji se zapisuju nisu zasnovani na informacijama dobijenim od klijenta;
• CVE-2019-9517 — ranjivost nedavno napovedane DoS ranjivosti u realizacijama HTTP/2.
  Napadač može iscrpiti dostupnu memoriju procesa i stvoriti veliku opterećenost CPU-a, otvarajući klizni prozor HTTP/2 za slanje podataka sa servera bez ograničenja, dok istovremeno drži TCP prozor zatvoren, što onemogućava stvarno pisanje podataka u soket;
• CVE-2019-10098 — problem u mod_rewrite, omogućavajući serveru da koristi preusmeravanje na druge resurse (open redirect). Neke postavke mod_rewrite mogu dovesti do preusmeravanja korisnika na drugu vezu, kodiranu korišćenjem karaktera novog reda unutar parametra koji se koristi u postojećem preusmeravanju. Kako bi se blokirao problem, u RegexDefaultOptions može se koristiti flag PCRE_DOTALL, koji je sada podrazumevano postavljen;
• CVE-2019-10092 — mogućnost međusajtnog skriptinga na stranicama grešaka, koje prikazuje mod_proxy. Na tim stranicama u vezi se ubacuje URL dobijen iz zahteva, u kojem napadač, koristeći eskapiranje karaktera, može umetnuti proizvoljni HTML kod;
• CVE-2019-10097 — prelivanje steka i dereferenciranje NULL pokazivača u mod_remoteip, eksploatisano manipulacijom sa PROXY protokolom. Napad se može izvršiti samo sa strane podešenih proxy-servera, a ne preko zahteva klijenta;
• CVE-2019-10082 — ranjivost u mod_http2, koja omogućava da se prilikom završetka veze pokrene čitanje sadržaja iz već oslobođene memorijske oblasti (read-after-free).

Najistaknutije izmjene vezane uz sigurnost:

• U mod_proxy_balancer-u pojačana je zaštita od XSS/XSRF napada sa strane pouzdanih čvorova;
• U mod_session dodata je postavka SessionExpiryUpdateInterval za određivanje intervala ažuriranja vremena isteka sesije/cookie;
• Provedeno je čišćenje stranica sa greškama, usmereno na isključivanje prikazivanja informacija iz zahteva na tim stranicama;
• V mod_http2 je bila upoštevana vrednost parametra «LimitRequestFieldSize», ki se je prej uporabljal le za preverjanje polj glav HTTP/1.1;
• Uvedena je bila konfiguracija mod_proxy_hcheck pri njegovi uporabi v BalancerMember;
• Poraba pomnilnika v mod_dav je bila zmanjšana pri uporabi ukaza PROPFIND nad obsežno zbirko;
• V mod_proxy in mod_ssl so bile rešene težave z nastavitvami certifikatov in SSL znotraj bloka Proxy;
• V mod_proxy je dovoljeno uporabljati nastavitve SSLProxyCheckPeer* za vse proxy module;
• Razširjene so zmožnosti modula mod_md, razvitega projekt Let’s Encrypt za avtomatizacijo pridobivanja in vzdrževanja certifikatov s protokolom ACME (Automatic Certificate Management Environment):
  • Dodana je bila druga različica protokola ACMEv2, ki je zdaj privzeta in uporablja prazni POST zahtevki namesto GET.
  • Dodana je bila podpora za preverjanje na osnovi razširitve TLS-ALPN-01 (RFC 7301, Pogajanje protokolov na aplikacijski ravni), ki se uporablja v HTTP/2.
  • Podpora za metodo preverjanja 'tls-sni-01' je bila ukinjena (zaradi ranjivosti).
  • Dodane so bile ukaze za nastavitev in prekinitev preverjanja z metodo 'dns-01'.
  • Dodana je podpora za maski. v certifikatih ob vključitvi preverjanja na osnovi DNS ('dns-01').
  • Uveden je bil obdelovalnik 'md-status' in stran s stanjem certifikata «https://domain/.httpd/certificate-status».
  • Dodane so bile direktive «MDCertificateFile» in «MDCertificateKeyFile» za nastavitev parametrov domen preko statičnih datotek (brez podpore za samodejno posodabljanje).
  • Dodana je bila direktiva «MDMessageCmd» za klic zunanjih ukazov ob dogodkih ‘renewed’, ‘expiring’ ali ‘errored’.
  • Dodana je bila direktiva «MDWarnWindow» za nastavitev opozorilne sporočila o poteku veljavnosti certifikata;

Izvor: opennet.ru