Máy chủ Apache HTTP 2.4.52 đã được phát hành, giới thiệu 25 thay đổi và loại bỏ 2 lỗ hổng:
- CVE-2021-44790 là lỗi tràn bộ đệm trong mod_lua xảy ra khi phân tích cú pháp các yêu cầu nhiều phần. Lỗ hổng này ảnh hưởng đến các cấu hình trong đó tập lệnh Lua gọi hàm r:parsebody() để phân tích nội dung yêu cầu, cho phép kẻ tấn công gây ra lỗi tràn bộ đệm bằng cách gửi một yêu cầu được tạo đặc biệt. Chưa có bằng chứng nào về việc khai thác được xác định, nhưng vấn đề có thể dẫn đến việc thực thi mã của nó trên máy chủ.
- CVE-2021-44224 - Lỗ hổng SSRF (Giả mạo yêu cầu phía máy chủ) trong mod_proxy, cho phép, trong các cấu hình có cài đặt “ProxyRequests on”, thông qua yêu cầu URI được thiết kế đặc biệt, đạt được chuyển hướng yêu cầu đến một trình xử lý khác trên cùng một trình xử lý máy chủ chấp nhận kết nối thông qua Ổ cắm tên miền Unix. Sự cố này cũng có thể được sử dụng để gây ra sự cố bằng cách tạo điều kiện cho việc hủy đăng ký con trỏ null. Sự cố này ảnh hưởng đến các phiên bản Apache httpd bắt đầu từ phiên bản 2.4.7.
Những thay đổi không liên quan đến bảo mật đáng chú ý nhất là:
- Đã thêm hỗ trợ xây dựng bằng thư viện OpenSSL 3 vào mod_ssl.
- Cải thiện khả năng phát hiện thư viện OpenSSL trong tập lệnh autoconf.
- Trong mod_proxy, đối với các giao thức đường hầm, có thể vô hiệu hóa chuyển hướng các kết nối TCP nửa đóng bằng cách đặt tham số “SetEnv proxy-nohalfclose”.
- Đã thêm các kiểm tra bổ sung để đảm bảo rằng các URI không dành cho ủy quyền có chứa lược đồ http/https và các URI dành cho ủy quyền có chứa tên máy chủ.
- mod_proxy_connect và mod_proxy không cho phép mã trạng thái thay đổi sau khi được gửi đến máy khách.
- Khi gửi phản hồi trung gian sau khi nhận được yêu cầu có tiêu đề "Mong đợi: 100-Tiếp tục", hãy đảm bảo rằng kết quả cho biết trạng thái "100 Tiếp tục" thay vì trạng thái hiện tại của yêu cầu.
- mod_dav bổ sung hỗ trợ cho tiện ích mở rộng CalDAV, yêu cầu phải tính đến cả thành phần tài liệu và thành phần thuộc tính khi tạo thuộc tính. Đã thêm các hàm mới dav_validate_root_ns(), dav_find_child_ns(), dav_find_next_ns(), dav_find_attr_ns() và dav_find_attr(), có thể được gọi từ các mô-đun khác.
- Trong mpm_event, vấn đề dừng các tiến trình con không hoạt động sau khi tải máy chủ tăng vọt đã được giải quyết.
- Mod_http2 đã sửa các thay đổi hồi quy gây ra hành vi không chính xác khi xử lý các hạn chế MaxRequestsPerChild và MaxConnectionsPerChild.
- Các khả năng của mô-đun mod_md, được sử dụng để tự động hóa việc nhận và duy trì chứng chỉ bằng giao thức ACME (Môi trường quản lý chứng chỉ tự động), đã được mở rộng:
- Đã thêm hỗ trợ cho cơ chế Liên kết tài khoản bên ngoài (EAB) ACME, được bật bằng lệnh MDExternalAccountBinding. Các giá trị cho EAB có thể được định cấu hình từ tệp JSON bên ngoài, tránh để lộ các tham số xác thực trong tệp cấu hình máy chủ chính.
- Lệnh 'MDCertificateAuthority' đảm bảo rằng tham số URL chứa http/https hoặc một trong các tên được xác định trước ('LetsEncrypt', 'LetsEncrypt-Test', 'Buypass' và 'Buypass-Test').
- Được phép chỉ định lệnh MDcontactEmail bên trong phần .
- Một số lỗi đã được sửa, bao gồm cả rò rỉ bộ nhớ xảy ra khi tải khóa riêng không thành công.
Nguồn: opennet.ru