Utgåvan av http-servern Apache 2.4.58 med åtgärder mot DoS-sårbarheter i HTTP/2

Utgivet en release av HTTP-servern Apache 2.4.58, som innehåller 33 ändringar och åtgärdar tre sårbarheter, två av dem relaterade till möjligheten att utföra en DoS-attack på system som använder HTTP/2-protokollet.

• CVE-2023-45802 — skapar förutsättningar för att uttömma ledigt minne på grund av fördröjd minnesfrigöring efter att HTTP/2-flödet har återställts med en RST-paket. Eftersom minnet inte frigörs omedelbart efter hanteringen av RST-flaggan, utan först efter att anslutningen stängs, kan en angripare avsevärt öka minnesanvändningen genom att skicka nya förfrågningar och återställa dem med ett RST-paket, utan att stänga anslutningen.
• CVE-2023-43622 — oändlig blockering av bearbetningen av HTTP/2-anslutningar om de öppnas med ett initialt storlek på glidande fönster som är 0. Sårbarheten kan användas för att organisera ett tjänsteavbrott genom att förbruka gränsen för det maximala antalet öppna anslutningar.
• CVE-2023-31122 — en sårbarhet i mod_macro som leder till läsning av data från området utanför den tilldelade bufferten.

Bland ändringarna som inte rör säkerhet:

• I mod_http2 har stöd lagts till för att använda WebSocket-protokollet ovanpå strömmen i HTTP/2-anslutningar (RFC 8441). För att aktivera WebSocket ovanpå HTTP/2 har direktivet 'H2WebSockets on|off' föreslagits.
• I mod_http2 har direktivet 'H2EarlyHint name value' lagts till för att inkludera rubriker i svaret som ger '103 Early Hints'.
• I mod_http2 har direktivet 'H2ProxyRequests on|off' lagts till för att styra användningen av HTTP/2-bearbetning i proxykonfigurationen.
• I mod_http2 har direktivet 'H2MaxDataFrameLen n' lagts till för att begränsa den maximala storleken på kroppens svar i byte som överförs i ett DATA-ram i HTTP/2. Standardgränsen sätts till 16 kB.
• Mime-typsfilen mime.types har uppdaterats, där tillägget '.js' kopplas till typen 'text/javascript' i stället för 'application/javascript', och tilläggen '.mjs' (med typen 'text/javascript') och '.opus' ('audio/ogg') har lagts till. MIME-typer och tillägg som används i WebAssembly har lagts till.
• Modulen mod_tls (alternativ till mod_ssl i Rust) har bytt till att använda rustls-ffi-biblioteket version 0.9.2+.
• I modulen mod_md har direktivet 'MDMatchNames all|servernames' lagts till för att styra matchningen av MDomains med innehållet i VirtualHosts.
• I modulen mod_md har direktivet 'MDChallengeDns01Version' lagts till för att välja versionen av ACME-protokollet som används vid verifiering via DNS.
• I mod_md har användning av direktivet MDChallengeDns01 tillåtits för individuella domäner.
• I mod_dav har en direktiv ‘DavBasePath’ lagts till för att konfigurera sökvägen till roten av WebDav-repositoriet.
• I mod_alias har direktivet ‘AliasPreservePath’ lagts till för att använda Alias-värdets fullständiga sökväg i Location-blocket.
• I mod_alias har direktivet ‘RedirectRelative’ lagts till, vilket tillåter omdirigering med relativa sökvägar.
• I direktivet ErrorLogFormat har format-specifikatorerna %{z} och %{strftime-format} lagts till.
• I mod_deflate har direktivet ‘DeflateAlterETag’ lagts till för att hantera förändringar i ETag vid användning av komprimering.
• Prestandan för funktionen send_brigade_nonblocking() har optimerats.
• I mod_status säkerställs borttagning av duplicerade nycklar ‘BusyWorkers’ och ‘IdleWorkers’, och en ny räknare ‘GracefulWorkers’ har lagts till.

Källa: opennet.ru