Apache 2.4.41 http faʻasalalauga faʻapipiʻi ma faʻafitauli faʻaletonu

lomia faasalalau faʻasaʻolotoina o le Apache HTTP server 2.4.41 (faʻasalalau 2.4.40 na faaseʻe), lea na faʻafeiloaʻi 23 suiga ma aveesea 6 fa'aletonu:

• CVE-2019-10081 ose fa'afitauli ile mod_http2 e mafai ona o'o atu ai ile fa'aletonu ole manatua pe a tu'uina atu fa'atonuga ile amataga. Pe a faʻaogaina le "H2PushResource" faʻatulagaina, e mafai ona toe faʻaaogaina le manatua i totonu o le vaitaele o talosaga, ae o le faʻafitauli e gata i se faʻalavelave ona o faʻamaumauga o loʻo tusia e le faʻavae i luga o faʻamatalaga na maua mai le tagata o tausia;
• CVE-2019-9517 - fa'aaliga lata mai fofogaina Fa'aletonu ole DoS ile HTTP/2 fa'atinoga.
  E mafai e se tagata osofaʻi ona faʻaumatia le manatuaga o loʻo avanoa i se faagasologa ma fatuina se uta mamafa o le CPU e ala i le tatalaina o se faʻamalama HTTP / 2 faʻapipiʻi mo le 'auʻaunaga e auina atu faʻamatalaga e aunoa ma ni tapulaʻa, ae o loʻo tapunia le faamalama o le TCP, e puipuia ai faʻamatalaga mai le tusia moni i le socket;

• CVE-2019-10098 - o se faʻafitauli i le mod_rewrite, lea e mafai ai ona e faʻaogaina le 'auʻaunaga e tuʻuina atu talosaga i isi punaoa (tatala redirect). O nisi mod_rewrite fa'atulagaina e mafai ona tu'uina atu le tagata fa'aoga i se isi so'otaga, fa'ailoga e fa'aaoga ai se laina fou i totonu o se parakalafa o lo'o fa'aogaina i se toe fa'asinomaga o iai. Ina ia poloka le faʻafitauli i RegexDefaultOptions, e mafai ona e faʻaogaina le fuʻa PCRE_DOTALL, lea ua seti nei e ala i le faaletonu;
• CVE-2019-10092 - le mafai ona fa'atino tusitusiga fa'asaga i luga o itulau sese fa'aalia e mod_proxy. I luga o nei itulau, o le soʻotaga o loʻo i ai le URL na maua mai le talosaga, lea e mafai ai e se tagata osofaʻi ona faʻaofi le faʻailoga HTML e ala i le sola ese o tagata;
• CVE-2019-10097 - fa'aputu fa'aputu ma NULL fa'ailoga fa'ailoga i le mod_remoteip, fa'aaogaina e ala i le fa'aogaina o le ulutala PROXY protocol. O le osofaʻiga e mafai ona faʻatinoina naʻo le itu o le sui sui o loʻo faʻaaogaina i tulaga, ae le o se talosaga a le tagata o tausia;
• CVE-2019-10082 - o se fa'aletonu ile mod_http2 e mafai ai, i le taimi e fa'amuta ai feso'ota'iga, e amata ai le faitau o mea mai se nofoaga manatua ua uma ona fa'asa'oloto (faitau-pe'a-sa'oloto).

O suiga sili ona le saogalemu:

• mod_proxy_balancer ua faʻaleleia le puipuiga mai osofaʻiga XSS / XSRF mai tupulaga faʻalagolago;
• Ua fa'aopoopoina le seti SessionExpiryUpdateInterval i le mod_session e fuafua ai le taimi mo le fa'afouina o le taimi e muta ai le sauniga/kuki;
• O itulau ma mea sese na faʻamamaina, faʻamoemoe e faʻaumatia le faʻaalia o faʻamatalaga mai talosaga i luga o nei itulau;
• mod_http2 e amanaʻia le tau o le "LimitRequestFieldSize" parakalafa, lea sa na o le aoga mo le siakiina o fanua ulutala HTTP / 1.1;
• Faʻamautinoa o le faʻatulagaina o mod_proxy_hcheck e faia pe a faʻaaogaina i le BalancerMember;
• Faʻaitiitia le faʻaogaina o le mafaufau ile mod_dav pe a faʻaaogaina le PROPFIND poloaiga i luga ole aofaʻi tele;
• I le mod_proxy ma le mod_ssl, faʻafitauli i le faʻamaoniaina o tusi faamaonia ma faʻatulagaga SSL i totonu ole poloka Proxy ua foia;
• mod_proxy fa'atagaina SSLProxyCheckPeer* fa'atulagaina e fa'aoga i sui sui uma;
• Ua fa'alauteleina le gafatia o Module mod_md, atiina ae Let's Encrypt project e otometi le mauaina ma le tausiga o tusi pasi e faʻaaoga ai le ACME (Automatic Certificate Management Environment) protocol:
  • Fa'aopoopo le fa'asologa lona lua o le protocol ACMEv2, lea ua avea nei ma faaletonu ma faʻaaoga gaogao POST talosaga nai lo GET.
  • Faʻaopoopo le lagolago mo faʻamaoniga e faʻavae i luga o le TLS-ALPN-01 faʻaopoopoga (RFC 7301, Application-Layer Protocol Negotiation), lea e faʻaaogaina i le HTTP/2.
  • Lagolago mo le 'tls-sni-01' auala fa'amaonia ua fa'agata (ona o fa'aletonu).
  • Faʻaopoopo tulafono mo le faʻatulagaina ma le talepeina o le siaki e faʻaaoga ai le 'dns-01' auala.
  • Faaopoopo lagolago ufimata i tusi faamaonia pe a mafai le faʻamaoniga faʻavae DNS ('dns-01').
  • Fa'atinoina le 'md-status' handler ma le tusi tulaga itulau 'https://domain/.httpd/certificate-status'.
  • Fa'aopoopoina "MDCertificateFile" ma le "MDCertificateKeyFile" fa'atonuga mo le fa'atulagaina o fa'ailoga vaega e ala i faila fa'amau (e aunoa ma se lagolago fa'afouina otometi).
  • Fa'aopoopoina le fa'atonuga "MDMessageCmd" e vala'au ai fa'atonuga mai fafo pe a 'fa'afouina', 'uma' pe 'sese' mea e tutupu.
  • Faʻaopoopo le "MDWarnWindow" faʻatonuga e faʻapipiʻi ai se feʻau lapatai e uiga i le mutaaga o tusi faamaonia;

puna: opennet.ru