Release av HTTP-servern Apache 2.4.43

Publicerad Utgivning av HTTP-servern Apache 2.4.43 (utgåvan 2.4.42 har uteblivit), som innehåller 34 ändringar och åtgärdat 3 sårbarheter:

• CVE-2020-1927: sårbarhet i mod_rewrite, som möjliggör att servern används för att omdirigera anrop till andra resurser (öppen omdirigering). Vissa inställningar av mod_rewrite kan leda till att användaren omdirigeras till en annan länk, kodad med hjälp av radbrytningstecknet inom parametern, som används i den befintliga omdirigeringen.
• CVE-2020-1934: sårbarhet i mod_proxy_ftp. Användning av oinitierade värden kan leda till läckage av minnesinnehåll vid proxy av förfrågningar till en FTP-server kontrollerad av en angripare.
• Minnesläckage i mod_ssl, som uppstår vid hantering av OCSP-förfrågningar.

De mest märkbara förändringarna, orelaterade till säkerhet:

• En ny modul har lagts till mod_systemd, vilket möjliggör integration med systemhanteraren systemd. Modulen tillåter användning av httpd i tjänster av typen "Type=notify".
• Stöd för korskompilering har lagts till i apxs.
• Funktionerna i mod_md-modulen, utvecklad av projektet Let’s Encrypt för automatisering av erhållande och hantering av certifikat med hjälp av ACME-protokollet (Automatic Certificate Management Environment), har utökats:
  • Direktiv MDContactEmail har lagts till, som gör att du kan ange en kontakt-epost, som inte krockar med värden från direktivet ServerAdmin.
  • För alla virtuella värdar har stöd kontrollerats för protokollet som används vid förhandling av en säker kommunikationskanal ("tls-alpn-01").
  • Användning av mod_md-direktiv har tillåtits i blocken och .
  • Tidigare inställningar ersätts vid återanvändning av MDCAChallenges.
  • Möjlighet att konfigurera URL för CTLog Monitor har lagts till.
  • För vissa kommandon i direktivet MDMessageCmd säkerställs att anrop gjorts med argumentet "installed" vid aktivering av ett nytt certifikat efter omstart av servern (till exempel kan användas för att kopiera eller konvertera ett nytt certifikat för andra applikationer).
• mod_proxy_hcheck har lagt till stöd för mask %{Content-Type} i kontrolluttryck.
• I mod_usertrack har lägena CookieSameSite, CookieHTTPOnly och CookieSecure lagts till för att konfigurera hantering av Cookie usertrack.
• I mod_proxy_ajp har ett parameter "secret" implementerats för proxyhanterare för att stödja det föråldrade autentiseringsprotokollet AJP13.
• Ett konfigurationsset för OpenWRT har lagts till.
• I mod_ssl har stöd lagts till för användning av privata nycklar och certifikat från OpenSSL ENGINE genom att ange URI PKCS#11 i SSLCertificateFile/KeyFile.
• Testning har genomförts med hjälp av systemet för kontinuerlig integration Travis CI.
• Striktare analys av rubriker för Transfer-Encoding.
• I mod_ssl har protokollöverenskommelse för TLS säkerställts i samband med virtuella värdar (stöds vid byggnation med OpenSSL-1.1.1+).
• Genom användning av hashning för kommandotabeller har omstarten i "graceful" läge (utan att avbryta pågående förfrågningar) påskyndats.
• I mod_lua har tabellerna r:headers_in_table, r:headers_out_table, r:err_headers_out_table, r:notes_table och r:subprocess_env_table lagts till, tillgängliga i skrivskyddat läge. Tilldelning av värdet "nil" till tabeller är tillåten.
• I mod_authn_socache har gränsen för storleken på cachad sträng ökat från 100 till 256.

Källa: opennet.ru