Apache http சேவையகத்தின் வெளியீடு 2.4.43

வெளியிடப்பட்டது Apache HTTP சர்வரின் வெளியீடு 2.4.43 (வெளியீடு 2.4.42 தவிர்க்கப்பட்டது), இது அறிமுகப்படுத்தப்பட்டது 34 மாற்றங்கள் மற்றும் நீக்கப்பட்டது 3 பாதிப்புகள்:

• CVE-2020-1927: mod_rewrite இல் உள்ள பாதிப்பு, இது கோரிக்கைகளை பிற ஆதாரங்களுக்கு அனுப்புவதற்கு சேவையகத்தைப் பயன்படுத்த அனுமதிக்கிறது (திறந்த திசைதிருப்பல்). சில mod_rewrite அமைப்புகள் பயனர் வேறொரு இணைப்பிற்கு அனுப்பப்படலாம், ஏற்கனவே உள்ள திசைதிருப்பலில் பயன்படுத்தப்படும் அளவுருவிற்குள் ஒரு புதிய வரி எழுத்தைப் பயன்படுத்தி குறியாக்கம் செய்யப்படலாம்.
• CVE-2020-1934: mod_proxy_ftp இல் பாதிப்பு. தாக்குபவர்-கட்டுப்படுத்தப்பட்ட FTP சேவையகத்திற்கு கோரிக்கைகளை ப்ராக்ஸி செய்யும் போது துவக்கப்படாத மதிப்புகளைப் பயன்படுத்துவது நினைவக கசிவுக்கு வழிவகுக்கும்.
• OCSP கோரிக்கைகளை இணைக்கும்போது mod_ssl இல் நினைவக கசிவு ஏற்படுகிறது.

மிகவும் குறிப்பிடத்தக்க பாதுகாப்பு அல்லாத மாற்றங்கள்:

• புதிய தொகுதி சேர்க்கப்பட்டது mod_systemd, இது systemd கணினி மேலாளருடன் ஒருங்கிணைப்பை வழங்குகிறது. “Type=notify” வகையுடன் சேவைகளில் httpd ஐப் பயன்படுத்த தொகுதி உங்களை அனுமதிக்கிறது.
• குறுக்கு-தொகுப்பு ஆதரவு apxs இல் சேர்க்கப்பட்டுள்ளது.
• ACME (தானியங்கி சான்றிதழ் மேலாண்மை சூழல்) நெறிமுறையைப் பயன்படுத்தி சான்றிதழ்களின் ரசீது மற்றும் பராமரிப்பை தானியங்குபடுத்துவதற்காக லெட்ஸ் என்க்ரிப்ட் திட்டத்தால் உருவாக்கப்பட்ட mod_md தொகுதியின் திறன்கள் விரிவாக்கப்பட்டுள்ளன:
  • MDContactEmail உத்தரவு சேர்க்கப்பட்டது, இதன் மூலம் ServerAdmin உத்தரவின் தரவுகளுடன் ஒன்றுடன் ஒன்று சேராத தொடர்பு மின்னஞ்சலை நீங்கள் குறிப்பிடலாம்.
  • அனைத்து மெய்நிகர் ஹோஸ்ட்களுக்கும், பாதுகாப்பான தகவல் தொடர்பு சேனலை (“tls-alpn-01”) பேச்சுவார்த்தை நடத்தும் போது பயன்படுத்தப்படும் நெறிமுறைக்கான ஆதரவு சரிபார்க்கப்பட்டது.
  • mod_md வழிமுறைகளை தொகுதிகளில் பயன்படுத்த அனுமதிக்கவும் மற்றும் .
  • MDCAChallenges ஐ மீண்டும் பயன்படுத்தும் போது கடந்த அமைப்புகள் மேலெழுதப்படுவதை உறுதி செய்கிறது.
  • CTLog மானிட்டருக்கு url ஐ உள்ளமைக்கும் திறன் சேர்க்கப்பட்டது.
  • MDMessageCmd கட்டளையில் வரையறுக்கப்பட்ட கட்டளைகளுக்கு, சேவையக மறுதொடக்கத்திற்குப் பிறகு புதிய சான்றிதழைச் செயல்படுத்தும்போது "நிறுவப்பட்ட" வாதத்துடன் கூடிய அழைப்பு வழங்கப்படுகிறது (உதாரணமாக, பிற பயன்பாடுகளுக்கான புதிய சான்றிதழை நகலெடுக்க அல்லது மாற்ற இது பயன்படுத்தப்படலாம்).
• mod_proxy_hcheck காசோலை வெளிப்பாடுகளில் %{Content-Type} முகமூடிக்கான ஆதரவைச் சேர்த்தது.
• CookieSameSite, CookieHTTPOnly மற்றும் CookieSecure முறைகள் யூசர்ட்ராக் குக்கீ செயலாக்கத்தை உள்ளமைக்க mod_usertrack இல் சேர்க்கப்பட்டுள்ளன.
• mod_proxy_ajp ப்ராக்ஸி ஹேண்ட்லர்களுக்கான "ரகசிய" விருப்பத்தை மரபு AJP13 அங்கீகார நெறிமுறையை ஆதரிக்கிறது.
• OpenWRTக்கான கட்டமைப்பு தொகுப்பு சேர்க்கப்பட்டது.
• SSLCertificateFile/KeyFile இல் PKCS#11 URI ஐக் குறிப்பிடுவதன் மூலம் OpenSSL ENGINE இலிருந்து தனிப்பட்ட விசைகள் மற்றும் சான்றிதழ்களைப் பயன்படுத்துவதற்கு mod_ssl க்கு ஆதரவு சேர்க்கப்பட்டது.
• தொடர்ச்சியான ஒருங்கிணைப்பு அமைப்பு டிராவிஸ் CI ஐப் பயன்படுத்தி சோதனை செயல்படுத்தப்பட்டது.
• பரிமாற்ற-குறியீடு தலைப்புகளின் பாகுபடுத்துதல் இறுக்கப்பட்டது.
• mod_ssl மெய்நிகர் ஹோஸ்ட்கள் தொடர்பான TLS நெறிமுறை பேச்சுவார்த்தையை வழங்குகிறது (OpenSSL-1.1.1+ உடன் கட்டமைக்கப்படும் போது ஆதரிக்கப்படும்.
• கட்டளை அட்டவணைகளுக்கு ஹாஷிங்கைப் பயன்படுத்துவதன் மூலம், "கிரேஸ்ஃபுல்" பயன்முறையில் மறுதொடக்கம் துரிதப்படுத்தப்படுகிறது (இயங்கும் வினவல் செயலிகளுக்கு இடையூறு இல்லாமல்).
• படிக்க மட்டுமேயான அட்டவணைகள் r:headers_in_table, r:headers_out_table, r:err_headers_out_table, r:notes_table மற்றும் r:subprocess_env_table க்கு mod_lua க்கு சேர்க்கப்பட்டது. அட்டவணைகள் "nil" மதிப்பை ஒதுக்க அனுமதிக்கவும்.
• mod_authn_socache இல் தேக்ககக் கோட்டின் அளவின் வரம்பு 100லிருந்து 256 ஆக அதிகரிக்கப்பட்டுள்ளது.

ஆதாரம்: opennet.ru