Релиз http-сервера Apache 2.2.22 с устранением уязвимостей

Добавить ссылки
Материал из Викиновостей, свободного источника новостей

31 января 2012 года

Доступен корректирующий релиз http-сервера Apache 2.2.22 в котором устранено 6 уязвимостей и исправлено 9 ошибок. Исправленные уязвимости:

  • В mod_setenvif устранена уязвимость, позволяющая локальному пользователю повысить свои привилегии в системе через создание специально скомпонованного содержимого директивы SetEnvIf в файле .htaccess в сочетании с отправкой определённым образом оформленного запроса. В качестве обходного пути для защиты можно отключить разбор файлов .htaccess через директивы "AllowOverride None" или не загружать модуль mod_setenvif;
  • В mod_log_config устранена уязвимость, позволяющая удалённо инициировать крах управляющего процесса httpd через отправку определённым образом сформированного блока Cookies, в ситуации, если на сервере используется опция форматирования %{cookiename}C' при выводе в лог;
  • Устранён обходной путь совершения атаки, позволяющей при работе mod_proxy в режиме обратного прокси отправить запрос из внешней сети к внутренним серверам в демилитаризованной зоне (DMZ), при наличии определенных rewrite-правил в конфигурации сервера;
  • Для блокирования возможных атак, направленных на обращение к ресурсам за пределами обратного прокси, Apache теперь отвергает все запросы c URI не соответствующими спецификации HTTP;
  • Устранена проблема с обработкой файлов scoreboard, которую можно было использовать для инициирования краха основного управляющего процесса httpd при выполнении определённых действий со стороны непривилегированных дочерних процессов httpd;
  • Устранена проблема, которая может быть использована для получения значений "httpOnly" Cookies при выводе ответа с указанием ошибки, если для 400 кода ошибки не определён собственный обработчик ErrorDocument.

Из не связанных с безопасностью исправлений, можно отметить устранение приводящих к краху ошибок в mod_log_config, mod_substitute и ap_send_interim_response(). Для mod_ssl изменено значение по умолчанию: отключен SSLv2, допускается использование только шифров начиная с 128 бит. В mod_win32 устранены проблемы при обработке переменных окружения, содержащих символы UTF-8. Устранено внесённое в версии 2.2.21 регрессивное изменение, вызывающее проблемы с сортировкой хуков для модулей Perl. В примере конфигурации директивы MaxRange вместо значения "0" теперь указано "unlimited".

Источники[править]


Creative Commons
Creative Commons
Эта статья содержит материалы из статьи «Релиз http-сервера Apache 2.2.22 с устранением уязвимостей», опубликованной OpenNET и распространяющейся на условиях лицензии Creative Commons Attribution (CC BY) — указание автора, источник и лицензию.
Эта статья загружена автоматически ботом NewsBots в архив и ещё не проверялась редакторами Викиновостей.
Любой участник может оформить статью: добавить иллюстрации, викифицировать, заполнить шаблоны и добавить категории.
Любой редактор может снять этот шаблон после оформления и проверки.

Комментарии[править]

Викиновости и Wikimedia Foundation не несут ответственности за любые материалы и точки зрения, находящиеся на странице и в разделе комментариев.



Источник — https://ru.wikinews.org/w/index.php?title=Релиз_http-сервера_Apache_2.2.22_с_устранением_уязвимостей&oldid=8674798