Release av http-servern Apache 2.4.46 med åtgärder mot sårbarheter

Publicerad Lansering av HTTP-servern Apache 2.4.46 (utgåvorna 2.4.44 och 2.4.45 har utelämnats), där det presenteras 17 förändringar och åtgärdat 3 sårbarheter:

• CVE-2020-11984 — buffertöverskridning i modulen mod_proxy_uwsgi, vilket kan leda till informationsläckor eller körning av kod på servern vid mottagande av en särskilt utformad begäran. Utnyttjande av sårbarheten kan göras genom att skicka en mycket lång HTTP-header. För att skydda har en blockering av huvuden längre än 16K lagts till (ett gräns fastställd i protokollets specifikation).
• CVE-2020-11993 — sårbarhet i modulen mod_http2 som kan orsaka en krasch av processen när en begäran med en särskilt utformad HTTP/2-header skickas. Problemet uppstår när felsökning eller spårning är aktiverat i modulen mod_http2 och yttrar sig i korruption av minnesinnehåll på grund av en kapplöpning när information sparas i loggen. Problemet uppstår inte när LogLevel sätts till "info".
• CVE-2020-9490 — sårbarhet i modulen mod_http2 som kan orsaka en krasch av processen när en begäran med ett särskilt utformat värde för headern 'Cache-Digest' skickas via HTTP/2 (kraschen inträffar när man försöker utföra en HTTP/2 PUSH-operation för resursen). För att blockera sårbarheten kan alternativet "H2Push off" användas.
• CVE-2020-11985 — sårbarhet i mod_remoteip som möjliggör IP-adressförfalskning vid proxyering med hjälp av mod_remoteip och mod_rewrite. Problemet uppstår endast för versioner från 2.4.1 till 2.4.23.

De mest märkbara förändringarna, orelaterade till säkerhet:

• Stödet för den utkastliknande specifikationen har tagits bort från mod_http2 kazuho-h2-cache-digest, vars befordran har upphört.
• Beteendet för direktivet "LimitRequestFields" har ändrats i mod_http2; att ange värdet 0 inaktiverar nu begränsningen.
• I mod_http2 har behandlingen av primära och sekundära (master/secondary) anslutningar säkerställts och metoder har märkts beroende på användning.
• Om en felaktig Last-Modified-header mottas från FCGI/CGI-skript, tas denna header nu bort istället för att ersättas med epoch-tid (Unix epoch).
• En funktion ap_parse_strict_length() har lagts till i koden för strikt tolkning av innehållets storlek.
• I mod_proxy_fcgi har ProxyFCGISetEnvIf säkerställt att miljövariabler tas bort om det angivna uttrycket returnerar False.
• Kapplöpningen och den potentiella kraschen i mod_ssl vid användning av klientcertifikat som anges genom inställningen SSLProxyMachineCertificateFile har åtgärdats.
• Minnesläckan i mod_ssl har åtgärdats.
• I mod_proxy_http2 har användningen av proxyparametern «ping» säkerställts vid kontroll av funktionaliteten för en ny eller återanvänd anslutning till backend.
• Bindningen av httpd till alternativet «-lsystemd» har upphört om mod_systemd är aktiverat.
• I mod_proxy_http2 har inställningen för ProxyTimeout tagits hänsyn till när man väntar på inkommande data genom anslutningar till backend.

Källa: opennet.ru