{"id":111027,"date":"2023-10-22T03:10:14","date_gmt":"2023-10-22T01:10:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/reliz-http-servera-apache-2-4-58-s-ustraneniem-dos-uyazvimostej-v-http-2"},"modified":"2023-10-22T03:10:14","modified_gmt":"2023-10-22T01:10:14","slug":"reliz-http-servera-apache-2-4-58-s-ustraneniem-dos-uyazvimostej-v-http-2","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/reliz-http-servera-apache-2-4-58-s-ustraneniem-dos-uyazvimostej-v-http-2","title":{"rendered":"Utg\u00e5van av http-servern Apache 2.4.58 med \u00e5tg\u00e4rder mot DoS-s\u00e5rbarheter i HTTP\/2","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Utgivet en release av HTTP-servern Apache 2.4.58, som inneh\u00e5ller 33 \u00e4ndringar och \u00e5tg\u00e4rdar tre s\u00e5rbarheter, tv\u00e5 av dem relaterade till m\u00f6jligheten att utf\u00f6ra en DoS-attack p\u00e5 system som anv\u00e4nder HTTP\/2-protokollet. <\/p>\n
\n
CVE-2023-45802 \u2014 skapande av f\u00f6rh\u00e5llanden f\u00f6r utt\u00f6mning av ledigt minne p\u00e5 grund av f\u00f6rsenad frig\u00f6ring av minne efter HTTP\/2-str\u00f6mmens RST-paket. Eftersom minnet inte frig\u00f6rs omedelbart efter att RST-flaggan har behandlats, utan f\u00f6rst efter att anslutningen har st\u00e4ngts, kan en angripare avsev\u00e4rt \u00f6ka minnesanv\u00e4ndningen genom att skicka nya f\u00f6rfr\u00e5gningar och \u00e5terst\u00e4lla dem med RST-paket utan att st\u00e4nga anslutningen.\n
CVE-2023-43622 \u2014 o\u00e4ndlig blockering av hantering av HTTP\/2-anslutning, om den \u00f6ppnades med ett initialt storleksf\u00f6nster satt till 0. S\u00e5rbarheten kan utnyttjas f\u00f6r att orsaka en \u00f6verbelastning genom att utt\u00f6mma begr\u00e4nsningen f\u00f6r det maximalt till\u00e5tna antalet \u00f6ppna anslutningar.\n
CVE-2023-31122 \u2014 s\u00e5rbarhet i mod_macro som leder till l\u00e4sning av data fr\u00e5n omr\u00e5de utanf\u00f6r den tilldelade bufferten. <\/ul>\n
Bland \u00e4ndringarna som inte r\u00f6r s\u00e4kerhet: <\/p>\n
\n
I mod_http2 har st\u00f6d f\u00f6r anv\u00e4ndning av WebSocket-protokollet \u00f6ver str\u00f6mmen i HTTP\/2-anslutningen (RFC 8441) lagts till. F\u00f6r att aktivera WebSocket \u00f6ver HTTP\/2 f\u00f6resl\u00e5s direktivet 'H2WebSockets on|off'.\n
I mod_http2 har direktivet 'H2EarlyHint name value' lagts till f\u00f6r att l\u00e4gga till rubriker i svar som '103 Early Hints'.\n
I mod_http2 har direktivet 'H2ProxyRequests on|off' lagts till f\u00f6r att styra aktiveringen av bearbetning av f\u00f6rfr\u00e5gningar via HTTP\/2-protokollet i proxykonfigurationen.\n
I mod_http2 har direktivet 'H2MaxDataFrameLen n' lagts till f\u00f6r att begr\u00e4nsa den maximala storleken p\u00e5 svarskroppen i byte, som \u00f6verf\u00f6rs i en DATA-ram i HTTP\/2. Standardgr\u00e4nsen \u00e4r satt till 16 KB.\n
Mime.types-filen har uppdaterats, d\u00e4r filtill\u00e4gget '.js' har kopplats till typen 'text\/javascript' ist\u00e4llet f\u00f6r 'application\/javascript', och till\u00e4ggen '.mjs' (med typen 'text\/javascript') och '.opus' ('audio\/ogg') har lagts till. MIME-typer och till\u00e4gg som anv\u00e4nds i WebAssembly har lagts till.\n
Modulen mod_tls (alternativ till mod_ssl i Rust) har bytt till att anv\u00e4nda rustls-ffi-biblioteket version 0.9.2+.\n
I mod_md har direktivet 'MDMatchNames all|servernames' lagts till f\u00f6r att styra mappningen av MDomains till inneh\u00e5llet i VirtualHosts.\n
I mod_md har direktivet 'MDChallengeDns01Version' lagts till f\u00f6r att v\u00e4lja versionen av ACME-protokollet som anv\u00e4nds vid verifiering via DNS.\n
I mod_md har anv\u00e4ndning av direktivet MDChallengeDns01 till\u00e5tits f\u00f6r individuella dom\u00e4ner<\/a>.\n