🥇Apache 2.4.46 http itusilẹ olupin pẹlu awọn ailagbara ti o wa titi

atejade itusilẹ ti olupin HTTP Apache 2.4.46 (awọn idasilẹ 2.4.44 ati 2.4.45 ti fo), eyiti o ṣafihan 17 ayipada ati imukuro 3 vulnerabilities:

CVE-2020-11984 - aponsedanu ifipamọ ninu module mod_proxy_uwsgi, eyiti o le ja si jijo alaye tabi ipaniyan koodu lori olupin nigbati o ba nfi ibeere ti a ṣe ni pataki ranṣẹ. Ailagbara naa jẹ ilokulo nipasẹ fifiranṣẹ akọsori HTTP gigun kan. Fun aabo, didi awọn akọle ti o gun ju 16K ti ni afikun (ipin ti a ṣalaye ninu sipesifikesonu Ilana).
CVE-2020-11993 - ailagbara ninu module mod_http2 ti o fun laaye ilana lati jamba nigbati o ba fi ibeere ranṣẹ pẹlu akọsori HTTP/2 ti a ṣe apẹrẹ pataki. Iṣoro naa farahan funrararẹ nigbati n ṣatunṣe aṣiṣe tabi wiwa wa ni mu ṣiṣẹ ninu module mod_http2 ati pe o han ninu ibajẹ akoonu iranti nitori ipo ere-ije nigbati fifipamọ alaye si akọọlẹ naa. Iṣoro naa ko han nigbati LogLevel ti ṣeto si “alaye”.
CVE-2020-9490 - ailagbara ninu module mod_http2 ti o fun laaye ilana kan lati jamba nigbati o ba nfi ibeere ranṣẹ nipasẹ HTTP/2 pẹlu iye akọsori 'Cache-Digest' ti a ṣe ni pataki (jamba naa waye nigbati o n gbiyanju lati ṣe iṣẹ HTTP/2 PUSH lori orisun kan) . Lati dènà ailagbara, o le lo eto “H2Push pipa”.
CVE-2020-11985 - ailagbara mod_remoteip, eyiti o fun ọ laaye lati sọ awọn adiresi IP spoof lakoko aṣoju lilo mod_remoteip ati mod_rewrite. Iṣoro naa han nikan fun awọn idasilẹ 2.4.1 si 2.4.23.

Awọn iyipada ti kii ṣe aabo ti o ṣe akiyesi julọ ni:

Atilẹyin fun sipesifikesonu osere ti yọkuro lati mod_http2 kazuho-h2-kaṣe-daijesti, ti igbega ti a duro.
Yiyipada ihuwasi ti itọsọna “LimitRequestFields” ni mod_http2;
mod_http2 n pese awọn ọna asopọ akọkọ ati Atẹle (Titunto si / Atẹle) ati siṣamisi awọn ọna ti o da lori lilo.
Ti akoonu akọsori Ikẹhin Ikẹhin ti ko tọ ti gba lati inu iwe afọwọkọ FCGI/CGI, akọsori yii ti yọkuro ni bayi dipo ki o rọpo ni akoko akoko Unix.
Iṣẹ ap_parse_strict_length() ti jẹ afikun si koodu lati ṣe itupalẹ iwọn akoonu ni muna.
Mod_proxy_fcgi's ProxyFCGISetEnvIf ṣe idaniloju pe awọn oniyipada ayika ti yọkuro ti ikosile ti a fun ba pada Eke.
Ti o wa titi ipo ere-ije kan ati jamba mod_ssl ti o ṣeeṣe nigba lilo ijẹrisi alabara kan pato nipasẹ eto SSLProxyMachineCertificateFile.
Ti o wa titi iranti jo ni mod_ssl.
mod_proxy_http2 n pese lilo paramita aṣoju "ping»nigbati o ba ṣayẹwo iṣẹ ṣiṣe ti asopọ tuntun tabi atunlo si ẹhin.
Duro dipọ httpd pẹlu aṣayan "-lsystemd" nigbati mod_systemd ti ṣiṣẹ.
mod_proxy_http2 ṣe idaniloju pe eto ProxyTimeout ni a ṣe akiyesi nigbati o nduro fun data ti nwọle nipasẹ awọn asopọ si ẹhin.

Itusilẹ olupin Apache 2.4.46 http pẹlu awọn ailagbara ti o wa titi