Release av HTTP-servern Apache 2.4.52 som åtgärdar en buffer overflow i mod_lua

Utgåvan av HTTP-servern Apache 2.4.52 har publicerats, med 25 förändringar och 2 sårbarheter åtgärdade:

• CVE-2021-44790 — buffertöverskridning i mod_lua som manifesterar sig vid tolkning av flerparts (multipart) begärningar. Sårbarheten påverkar konfigurationer där Lua-skript anropar funktionen r:parsebody() för att tolka begärningens kropp och möjliggör att en angripare kan åstadkomma en buffertöverskridning genom att skicka en särskilt utformad begäran. Inga bevis på ett utnyttjande har hittills upptäckts, men problemet kan potentiellt leda till exekvering av egen kod på servern.
• CVE-2021-44224 — SSRF-sårbarhet (Server Side Request Forgery) i mod_proxy, vilket tillåter att i konfigurationer med inställningen "ProxyRequests on" vidarebefordra en begäran med en särskilt utformad URI till en annan handlare på samma server som tar emot anslutningar via Unix Domain Socket. Problemet kan också utnyttjas för att orsaka en krasch genom att skapa förhållanden för dereferens av en nullpekare. Problemet påverkar versioner av Apache httpd från och med version 2.4.7.

De mest märkbara förändringarna, orelaterade till säkerhet:

• Stödet för kompilering med OpenSSL 3-biblioteket har lagts till i mod_ssl.
• Förbättrad detektering av OpenSSL-biblioteket i autoconf-skript.
• I mod_proxy för tunneleringsprotokoll har möjligheten lagts till att stänga av omdirigering av halvöppna TCP-anslutningar genom att ställa in parametern "SetEnv proxy-nohalfclose".
• Ytterligare kontroller har lagts till för att säkerställa att URI:er som inte är avsedda för proxying innehåller en http/https-scheman, medan de som är avsedda för proxying innehåller ett värdnamn.
• I mod_proxy_connect och mod_proxy är det förbjudet att ändra statuskoden efter att den har skickats till klienten.
• Vid skickande av mellanliggande svar efter mottagna begärningar med rubriken "Expect: 100-Continue" säkerställs att resultatet anger status "100 Continue" snarare än den aktuella begärningens status.
• I mod_dav har stöd lagts till för CalDAV-tillägg, där egenskaper vid generering måste beakta både dokumentelement och egenselement. Nya funktioner som dav_validate_root_ns(), dav_find_child_ns(), dav_find_next_ns(), dav_find_attr_ns() och dav_find_attr() har lagts till, vilka kan anropas från andra moduler.
• I mpm_event har problemet med stoppande av vilande barnprocesser efter en ökning av belastningen på servern åtgärdats.
• I mod_http2 har regressiva ändringar som orsakar felaktigt beteende vid hantering av begränsningarna MaxRequestsPerChild och MaxConnectionsPerChild åtgärdats.
• Möjligheterna för modulen mod_md, som används för automatisering av certifikatinhämtning och underhåll med hjälp av protokollet ACME (Automatic Certificate Management Environment), har utvidgats:
  • Stöd för mekanismen ACME External Account Binding (EAB) har lagts till och aktiveras med direktivet MDExternalAccountBinding. Värden för EAB kan konfigureras från en extern fil i JSON-format, vilket gör det möjligt att inte avslöja autentiseringsparametrar i huvudfilen. serverkonfigurationen.
  • I direktivet ‘MDCertificateAuthority’ har verifiering av angivelsen i parameter-URL:en http/https eller ett av de fördefinierade namnen (‘LetsEncrypt’, ‘LetsEncrypt-Test’, ‘Buypass’ och ‘Buypass-Test’) säkerställts.
  • Angivelsen av direktivet MDContactEmail är tillåten inom sektionen .
  • Flera fel har åtgärdats, inklusive en minnesläcka som inträffade vid problem vid inläsning av privat nyckel.

Källa: opennet.ru