Izdan je http-server Apache 2.4.52 sa ispravkom za prelivanje bafera u mod_lua.

Objavljen je izdanjak HTTP servera Apache 2.4.52, u kojem je predstavljeno 25 promena i ispravljena su 2 sigurnosna propusta:

• CVE-2021-44790 — prelivanje bafera u mod_lua, koje se manifestuje prilikom obrade zahteva sastavljenih od više delova (multipart). Ova ranjivost utiče na konfiguracije u kojima Lua skripte pozivaju funkciju r:parsebody() za obradu tela zahteva, i omogućava napadaču da izazove prelivanje bafera slanjem posebno oblikovanog zahteva. Zasad nisu zabeleženi primeri eksploatacije, ali postoji potencijalna opasnost od izvođenja malicioznog koda na strežnikom.
• CVE-2021-44224 — SSRF (Server Side Request Forgery) ranjivost u mod_proxy, koja omogućava u konfiguracijama sa postavkom „ProxyRequests on“ da se kroz zahtev sa posebno oblikovanim URI-jem preusmeri zahtev na drugi obradnik na istom serveru, koji prima konekcije putem Unix Domain Socket-a. Problem se takođe može iskoristiti za izazivanje rušenja kroz kreiranje uslova za dereferenciranje nultog pokazivača. Ova ranjivost utiče na verzije Apache httpd počev od verzije 2.4.7.

Najistaknutije izmjene vezane uz sigurnost:

• U mod_ssl je dodata podrška za kompilaciju sa bibliotekom OpenSSL 3.
• Poboljšano je prepoznavanje biblioteke OpenSSL u autoconf skriptama.
• U mod_proxy za protokole tunelovanja omogućena je opcija za isključivanje preusmeravanja poluotvorenih (half-close) TCP konekcija putem postavljanja parametra „SetEnv proxy-nohalfclose“.
• Dodana su dodatna proveravanja da URI-ji koji nisu namenjeni za prosleđivanje sadrže http/https shemu, dok oni koji su namenjeni za prosleđivanje sadrže ime hosta.
• U mod_proxy_connect i mod_proxy zabranjeno je menjanje koda stanja nakon što je on prosleđen klijentu.
• Prilikom slanja međurešavanja nakon primanja zahteva sa hederom „Expect: 100-Continue“ obezbeđeno je da rezultat ukazuje na stanje „100 Continue“, a ne na trenutno stanje zahteva.
• U mod_dav je dodata podrška za CalDAV ekstenzije, pri čemu se prilikom generisanja svojstva moraju uzeti u obzir i elementi dokumenta i elementi svojstva. Dodate su nove funkcije dav_validate_root_ns(), dav_find_child_ns(), dav_find_next_ns(), dav_find_attr_ns() i dav_find_attr(), koje se mogu pozvati iz drugih modula.
• U mpm_event rešen je problem s zaustavljanjem neaktivanih dečijih procesa nakon porasta opterećenja na serveru.
• U mod_http2 ispravljene su regresivne promene koje su dovele do nepravilnog ponašanja prilikom obrade ograničenja MaxRequestsPerChild i MaxConnectionsPerChild.
• Razširjene možnosti modula mod_md, ki se uporablja za avtomatizacijo pridobivanja in vzdrževanja certifikatov z uporabo protokola ACME (Automatic Certificate Management Environment):
  • Dodana je podpora za mehanizem ACME External Account Binding (EAB), ki se aktivira z direktivo MDExternalAccountBinding. Vrednosti za EAB je mogoče nastaviti iz zunanje datoteke v formatu JSON, kar omogoča, da se podatki za avtentikacijo ne razkrijejo v glavni datoteki. konfiguracije strežnika.
  • V direktivi 'MDCertificateAuthority' je zagotovljena preverba, da parameter URL vsebuje http/https ali eno od prednastavljenih imen ('LetsEncrypt', 'LetsEncrypt-Test', 'Buypass' in 'Buypass-Test').
  • Dovoljeno je določiti direktivo MDContactEmail znotraj sekcije .
  • Odpravljene so bile nekatere napake, vključno z nadaljnjim uhajanjem pomnilnika, ki se pojavi v primeru napak pri nalaganju zasebnega ključa.

Izvor: opennet.ru