izdanje HTTP-servera Apache 2.4.46 (izdanja 2.4.44 i 2.4.45 su propuštena), koji je predstavio i ispravljena :
- — prelivanje bafera u modulu mod_proxy_uwsgi, koje može dovesti do curenja informacija ili izvršavanja koda na serveru prilikom slanja posebno formatiranog zahteva. Iskorišćavanje ranjivosti ostvaruje se slanjem vrlo dugog HTTP zaglavlja. Za zaštitu je dodata blokada zaglavlja dužih od 16K (ograničenje određeno u specifikaciji protokola).
- — ranjivost u modulu mod_http2, koja omogućava rušenje procesa prilikom slanja zahteva sa posebno formatiranim HTTP/2 zaglavljem. Problem se manifestuje prilikom uključivanja debagovanja ili praćenja u modulu mod_http2 i izražava se u oštećenju sadržaja memorije usled stanja trke prilikom čuvanja informacija u logu. Problem se ne manifestuje prilikom postavljanja LogLevel na vrednost „info“.
- — ranjivost u modulu mod_http2, koja omogućava rušenje procesa prilikom slanja preko HTTP/2 zahteva sa posebno formatiranom vrednošću zaglavlja ‘Cache-Digest’ (rušenje nastaje prilikom pokušaja izvršavanja operacije HTTP/2 PUSH za resurs). Za blokiranje ranjivosti može se koristiti podešavanje „H2Push off”.
- — ranjivost mod_remoteip, koja omogućava organizovanje spoofinga IP adresa prilikom proxy-ja, koristeći mod_remoteip i mod_rewrite. Problem se manifestuje samo za izdanja od 2.4.1 do 2.4.23.
Najistaknutije izmjene vezane uz sigurnost:
- Iz mod_http2 uklonjena podrška za skicu specifikacije , čije je unapređenje prekinuto.
- Izmenjeno ponašanje direktive „LimitRequestFields“ u mod_http2, postavljanje vrednosti 0 sada isključuje ograničenje.
- U mod_http2 obezbeđena je obrada glavnih i sporednih (master/secondary) konekcija i označavanje metoda u zavisnosti od korišćenja.
- U slučaju dobijanja nepravilnog sadržaja zaglavlja Last-Modified od FCGI/CGI skripte, ovo zaglavlje se sada uklanja, a ne zamenjuje vremenom iz epohe (Unix epoch).
- U kod je dodata funkcija ap_parse_strict_length() za strogo razumevanje veličine sadržaja.
- U mod_proxy_fcgi u ProxyFCGISetEnvIf obezbeđeno je uklanjanje promenljivih okruženja, ako dati izraz vraća False.
- Uklonjeno stanje trke i moguće rušenje mod_ssl prilikom korišćenja klijent sertifikata, postavljenog putem podešavanja SSLProxyMachineCertificateFile.
- Uklonjeno curenje memorije u mod_ssl.
- V mod_proxy_http2 je omogočena uporaba parametra proxy «» pri preverjanju delovanja novega ali ponovno uporabljenega povezovanja s backendom.
- Preklicano je povezovanje httpd z možnostjo «-lsystemd», če je aktiven mod_systemd.
- V mod_proxy_http2 je upoštevana nastavitev ProxyTimeout pri čakanju na vhodne podatke preko povezav z backendom.
Izvor: opennet.ru
