Apache HTTP Server 2.4.58 usuwa trzy luki i wprowadza różne ulepszenia

ten wydanie nowej wersji serwera Apache HTTP 2.4.58, który przybywa usunięcie trzech luk w zabezpieczeniach. dwa z nich związane są z możliwością przeprowadzenia ataku DoS na systemy korzystające z protokołu HTTP/2. Ta wersja Apache jest najnowszą wersją GA gałęzi 2.4.x, o której wspomina się, że „reprezentuje piętnaście lat innowacji w ramach projektu” i jako taka ta wersja Apache jest wersją zapewniającą bezpieczeństwo, funkcje i poprawki błędów.

Dla tych, którzy nie znają Apache, powinniście wiedzieć, co to jest serwer WWW HTTP typu open source, który jest dostępny dla platform Unix (BSD, GNU / Linux itp.), Microsoft Windows, Macintosh i innych.

Co nowego w Apache HTTP 2.4.58?

W nowej wersji Apache HTTP Server 2.4.58 w module mod_http2 dodaje obsługę protokołu WebSocket poprzez transmisję poprzez połączenie HTTP/2 (RFC 8441), podczas gdy mod_tls (alternatywa dla mod_ssl w języku Rust) został przetłumaczony na bibliotekę Rustls-ffi 0.9.2+ i Mod_status zapewnia usunięcie zduplikowanych kluczy „BusyWorkers” i „IdleWorkers” oraz dodanie nowego licznika „GracefulWorkers”.

Inne zmiany wyróżniające się w nowej wersji to dodano nowe dyrektywy, które stanowią dyrektywę „DeflateAlterETag” do mod_deflate aby kontrolować, jak zmienia się ETag podczas stosowania kompresji, 'MDMatchNames wszystkie|nazwy serwerów' do modułu mod_md, aby kontrolować sposób, w jaki MDomains odnoszą się do zawartości VirtualHosts, „DavBasePath” do mod_dav, aby ustawić ścieżkę do katalogu głównego repozytorium WebDav, „AliasPreservePath” do mod_alias użyć wartości Alias ​​w bloku Location jako pełnej ścieżki, „RedirectRelative” do mod_alias, umożliwiając przekierowanie przy użyciu ścieżek względnych i „H2ProxyRequests on|off” do mod_http2 aby kontrolować, czy w ustawieniach proxy jest włączone przetwarzanie żądań HTTP/2.

Ze strony poprawki bezpieczeństwa, Wspomniano, że poruszono następujące kwestie:

• CVE-2023-45802: Stan wyczerpania pamięci powstaje w wyniku opóźnionego zwolnienia pamięci po tym, jak pakiet z flagą RST resetuje strumień HTTP/2. Ponieważ pamięć nie jest zwalniana natychmiast po przetworzeniu flagi RST, ale dopiero po zamknięciu połączenia, osoba atakująca może znacznie zwiększyć zużycie pamięci, wysyłając nowe żądania i opróżniając je pakietem RST, ale bez zamykania połączenia.
• CVE-2023-43622: Przetwarzanie połączenia HTTP/2 jest blokowane na czas nieokreślony, jeśli zostało otwarte przy początkowym rozmiarze okna przesuwnego ustawionym na 0. Luka może zostać wykorzystana do spowodowania odmowy usługi poprzez przekroczenie limitu maksymalnej dozwolonej liczby otwartych połączeń.
• CVE-2023-31122: to luka w mod_macro, która umożliwia odczyt danych z obszaru poza przydzielonym buforem.

Z innych zmian które wyróżniają się na tle nowej wersji:

• Aby włączyć protokół WebSocket przez HTTP/2, opcja „H2WebSockets wł.|wył.”.
• Dyrektywa „H2MaxDataFrameLen n' został dodany do mod_http2 aby ograniczyć maksymalny rozmiar treści odpowiedzi w bajtach przesyłanych w ramce DATA w HTTP/2. Domyślny limit wynosi 16 KB.
• Archiwum typy.mime zaktualizowano, w którym rozszerzenie «. Js» jest powiązany z typem „tekst/javascript' raczej 'aplikacja/javascript' i dodano rozszerzenia: «.mjs» (z typem „tekst/javascript') I ".opus"('audio/ogg'). Dodano typy i rozszerzenia MIME używane w WebAssembly.
• Dyrektywa”Wersja MDChallengeDns01' został dodany do modułu mod_md aby wybrać wersję protokołu ACME używaną do weryfikacji DNS.
• mod_md pozwala na stosowanie dyrektywy MDChallengeDns01 dla poszczególnych domen.
• specyfikatory formatu %{z} i %{strftime-format} zostały dodane do dyrektywy Format dziennika błędów.
• Wydajność funkcji została zoptymalizowana send_brigade_nonblocking().

W końcu jeśli chcesz dowiedzieć się więcej na ten temat o nowej wersji serwera Apache HTTP możesz sprawdzić szczegóły W poniższym linku.

Rozładowanie

Nową wersję możesz pobrać, odwiedzając oficjalną stronę Apache, gdzie w sekcji pobierania znajdziesz link do nowej wersji.

Link jest taki.