Utgivning av HTTP-servern Apache 2.4.41 (utgivning 2.4.40 har hoppats över), dÀr och ÄtgÀrdat :
- â ett problem i mod_http2 som kan leda till minneskorruption nĂ€r push-förfrĂ„gningar skickas i ett tidigt skede. Med instĂ€llningen "H2PushResource" kan ett minnesomrĂ„de i bearbetningspoolen skrivas över, men problemet Ă€r begrĂ€nsat till krasch, eftersom de skrivna data inte baseras pĂ„ information som erhĂ„llits frĂ„n klienten;
- â utsatt för nyligen DoS-sĂ„rbarhet i implementeringar av HTTP/2.
En angripare kan tömma minnet som Ă€r tillgĂ€ngligt för processen och skapa hög CPU-belastning genom att öppna ett glidande HTTP/2-fönster för att skicka data till servern utan begrĂ€nsningar, medan den hĂ„ller TCP-fönstret stĂ€ngt, vilket förhindrar verklig skrivning av data till socketen; - â ett problem i mod_rewrite som tillĂ„ter servern att vidarebefordra begĂ€ringar till andra resurser (öppen omdirigering). Vissa instĂ€llningar av mod_rewrite kan leda till att en anvĂ€ndare kan omdirigeras till en annan lĂ€nk som kodats med hjĂ€lp av radbrytning inom parametern som anvĂ€nds i en befintlig omdirigering. För att blockera problemet kan flaggan PCRE_DOTALL anvĂ€ndas i RegexDefaultOptions, vilket nu Ă€r standardinstĂ€llt;
- â möjlighet för cross-site scripting pĂ„ fel sidor som genereras av mod_proxy. PĂ„ dessa sidor sĂ€tts URL:en frĂ„n förfrĂ„gan in i lĂ€nken, dĂ€r en angripare genom att skĂ€la tecken kan infoga godtycklig HTML-kod;
- â stacköverskridning och nullpekare avavser i mod_remoteip, utnyttjad genom manipulation av PROXY-protokollets rubrik. Angreppet kan endast utföras frĂ„n instĂ€llningarna pĂ„ proxyservern, inte via klientens förfrĂ„gan;
- â en sĂ„rbarhet i mod_http2 som tillĂ„ter lĂ€sning av innehĂ„ll frĂ„n redan frigjord minnesomrĂ„de (read-after-free) vid avslutning av anslutningen.
De mest mÀrkbara förÀndringarna, orelaterade till sÀkerhet:
- I mod_proxy_balancer har skyddet mot XSS/XSRF-attacker frÄn betrodda noder förstÀrkts;
- I mod_session har en instÀllning för SessionExpiryUpdateInterval lagts till för att bestÀmma intervallet för uppdatering av sessionens/cookiens livslÀngd;
- Sidornas som innehöll fel har rensats, vilket syftade till att förhindra att information frÄn dessa sidor visas i sökningar;
- I mod_http2 har vÀrdet pÄ parametern 'LimitRequestFieldSize' beaktats, som tidigare endast gÀllde för kontroll av HTTP/1.1-huvuden;
- Konfigurationen av mod_proxy_hcheck har sÀkerstÀllts nÀr den anvÀnds i BalancerMember;
- MinneÄtgÄngen i mod_dav har minskats vid anvÀndning av PROPFIND-kommandot över stora samlingar;
- I mod_proxy och mod_ssl har problem angÄende instÀllningar för certifikat och SSL inuti Proxy-blocket ÄtgÀrdats;
- I mod_proxy har anvÀndningen av SSLProxyCheckPeer*-instÀllningar tillÄtits för alla proxymoduler;
- Funktionerna i modulen har utvidgats , av projektet Letâs Encrypt för att automatisera utfĂ€rdande och underhĂ„ll av certifikat med hjĂ€lp av ACME-protokollet (Automatic Certificate Management Environment):
- Den andra versionen av protokollet , som nu anvÀnds som standard och tomma POST-förfrÄgningar istÀllet för GET.
- Stöd för verifiering baserat pÄ TLS-ALPN-01-tillÀgget (RFC 7301, Application-Layer Protocol Negotiation), som anvÀnds i HTTP/2, har lagts till.
- Stödet för verifieringsmetoden 'tls-sni-01' har upphört (p.g.a. ).
- Kommandon för konfiguration och avbrytande av verifieringsmetoden 'dns-01' har lagts till.
- Stöd för i certifikat vid aktivering av DNS-baserad verifiering ('dns-01').
- En 'md-status'-hanterare och en sida med certifikatstatus "https://domain/.httpd/certificate-status" har implementerats.
- Direktiven 'MDCertificateFile' och 'MDCertificateKeyFile' har lagts till för att konfigurera domÀnparametrar via statiska filer (utan stöd för automatisk uppdatering).
- Direktivet 'MDMessageCmd' har lagts till för att anropa externa kommandon vid hÀndelserna 'renewed', 'expiring' eller 'errored'.
- Direktivet 'MDWarnWindow' har lagts till för att konfigurera meddelande om varning för certifikats utgÄng;
KĂ€lla: opennet.ru
