bản phát hành Apache HTTP Server 2.4.43 (bản phát hành 2.4.42 đã bị bỏ qua), giới thiệu và loại bỏ :
- CVE-2020-1927: Lỗ hổng trong mod_rewrite cho phép sử dụng máy chủ để chuyển tiếp yêu cầu đến các tài nguyên khác (chuyển hướng mở). Một số cài đặt mod_rewrite có thể khiến người dùng được chuyển hướng đến một liên kết khác được mã hóa bằng ký tự dòng mới bên trong tham số được sử dụng trong chuyển hướng hiện có.
- CVE-2020-1934: Lỗ hổng trong mod_proxy_ftp. Việc sử dụng các giá trị chưa được khởi tạo có thể dẫn đến rò rỉ bộ nhớ khi ủy quyền các yêu cầu tới máy chủ FTP do kẻ tấn công kiểm soát.
- Rò rỉ bộ nhớ trong mod_ssl khi ghim các yêu cầu OCSP.
Những thay đổi không liên quan đến bảo mật đáng chú ý nhất là:
- Đã thêm một mô-đun mới , cung cấp sự tích hợp với trình quản lý hệ thống systemd. Mô-đun này cho phép bạn sử dụng httpd trong các dịch vụ có loại "Type=notify".
- Hỗ trợ biên dịch chéo đã được thêm vào apxs.
- Các khả năng của mô-đun mod_md do dự án Let's Encrypt phát triển nhằm tự động hóa việc nhận và duy trì chứng chỉ bằng giao thức ACME (Môi trường quản lý chứng chỉ tự động) đã được mở rộng:
- Lệnh MDcontactEmail đã được thêm vào, qua đó bạn có thể chỉ định email liên hệ không trùng với dữ liệu từ lệnh ServerAdmin.
- Đối với tất cả các máy chủ ảo, một kiểm tra được cung cấp để hỗ trợ giao thức được sử dụng khi đàm phán kênh liên lạc an toàn ("tls-alpn-01").
- Cho phép sử dụng lệnh mod_md trong khối Và .
- Cung cấp thay thế các cài đặt trước đây khi sử dụng lại MDCAChallenges.
- Đã thêm khả năng định cấu hình url cho CTLog Monitor.
- Các lệnh được xác định trong lệnh MDMessageCmd được đảm bảo được gọi với đối số "đã cài đặt" khi chứng chỉ mới được kích hoạt sau khi khởi động lại máy chủ (ví dụ: chứng chỉ này có thể được sử dụng để sao chép hoặc chuyển đổi chứng chỉ mới cho các ứng dụng khác).
- mod_proxy_hcheck đã thêm hỗ trợ cho mặt nạ %{Content-Type} trong biểu thức kiểm tra.
- Các chế độ CookieSameSite, CookieHTTPOnly và CookieSecure đã được thêm vào mod_usertrack để tùy chỉnh cách xử lý cookie theo dõi người dùng.
- mod_proxy_ajp đã triển khai tham số "bí mật" cho trình xử lý proxy để hỗ trợ giao thức xác thực AJP13 cũ.
- Đã thêm bộ cấu hình cho OpenWRT.
- Đã thêm hỗ trợ cho việc sử dụng khóa riêng và chứng chỉ từ OpenSSL ENGINE trong mod_ssl bằng cách chỉ định URI PKCS#11 trong SSLCertificateFile/KeyFile.
- Triển khai thử nghiệm bằng hệ thống tích hợp liên tục Travis CI.
- Phân tích cú pháp các tiêu đề Mã hóa chuyển giao khó khăn hơn.
- mod_ssl cung cấp khả năng đàm phán giao thức TLS liên quan đến máy chủ ảo (được hỗ trợ khi xây dựng bằng OpenSSL-1.1.1+.
- Do sử dụng hàm băm cho các bảng lệnh, việc khởi động lại ở chế độ "duyên dáng" (không bị gián đoạn khi chạy các trình xử lý yêu cầu) được tăng tốc.
- Đã thêm các bảng chỉ đọc r:headers_in_table, r:headers_out_table, r:err_headers_out_table, r:notes_table và r:subprocess_env_table vào mod_lua. Được phép gán giá trị "nil" cho các bảng.
- Trong mod_authn_socache, giới hạn kích thước của chuỗi được lưu trong bộ nhớ cache đã tăng từ 100 lên 256.
Nguồn: opennet.ru