La Presentazione di Apache Software Foundation Qualche giorno fa il rilascio della nuova versione del server HTTP "Apache 2.4.43", che presenta 34 modifiche e 3 vulnerabilità corrette, oltre a fornire una serie di miglioramenti rispetto alla versione 2.2.
Per coloro che non hanno familiarità con Apache, dovrebbero sapere di cosa si tratta un server web HTTP open source, disponibile per piattaforme Unix (BSD, GNU / Linux, ecc.), Microsoft Windows, Macintosh e altri.
Cosa c'è di nuovo in Apache 2.4.43?
Questa nuova versione del server è considerata importante poiché segna la fine del ciclo di vita del ramo 2.2x e che questa versione è basata ed estende l'API di Apache 2.2 e i moduli scritti per Apache 2.2 dovranno essere ricompilati per funzionare con Apache 2.4.
Tra le principali modifiche che spiccano in questa versione c'è il aggiungendo un nuovo modulo "mod_systemd", che fornisce l'integrazione con l'amministratore di sistema Systemd e ciò consente di utilizzare httpd nei servizi con il tipo »Type = notify».
Inoltre, capacità del modulo mod_md sviluppato dal progetto Let's Encrypt per automatizzare la ricezione e la manutenzione dei certificati utilizzando il protocollo ACME (Automatic Certificate Management Environment) sono espansi.
Dalle modifiche ai moduli, possiamo trovarlo per mod_authn_socache il limite sulla dimensione della riga in cache è stato aumentato da 100 a 256.
In mod_ssl, il protocollo TLS viene negoziato insieme agli host virtuali (compatibile con la compilazione con OpenSSL-1.1.1 +.
Mod_ssl ha aggiunto il supporto per l'utilizzo di chiavi private e certificati OpenSSL ENGINE quando si specifica l'URI PKCS # 11 in SSLCertificateFile / KeyFile.
mod_proxy_hcheck ha aggiunto il supporto per la maschera% {Content-Type} nelle espressioni di test.
Aggiunte le modalità cookieSameSite, CookieHTTPOnly e CookieSecure a mod_usertrack per configurare la traccia utente dell'elaborazione dei cookie.
Mod_proxy_ajp per i driver proxy implementa il parametro "secret" per supportare il protocollo di autenticazione deprecato AJP13.
Per i comandi definiti nella direttiva MDMessageCmd, viene fornita una chiamata con l'argomento "installato" quando viene attivato un nuovo certificato dopo il riavvio del server (ad esempio, può essere utilizzato per copiare o convertire un nuovo certificato per altre applicazioni).
È stata aggiunta la direttiva MDContactEmail, tramite la quale è possibile specificare un'e-mail di contatto che non si sovrapponga ai dati nella direttiva ServerAdmin.
Delle altre modifiche che si distinguono da questa versione:
- Il supporto per la compilazione incrociata è stato aggiunto ad apxs.
- Per tutti gli host virtuali, viene fornito il supporto per il protocollo utilizzato durante la negoziazione di un canale di comunicazione sicuro ("tls-alpn-01").
- Le direttive Mod_md sono consentite nei blocchi Y .
- Sostituite le impostazioni precedenti quando si utilizzano nuovamente le sfide MDCAC.
- Aggiunta la possibilità di impostare l'URL per CTLog Monitor.
- Aggiunto set di configurazione per OpenWRT.
- Test implementati utilizzando il sistema di integrazione continua Travis CI.
- Intestazioni di codifica di trasferimento analizzate.
- A causa dell'utilizzo dell'hashing per le tabelle dei comandi, il riavvio in modalità "graziosa" è stato velocizzato (senza interrompere i gestori delle richieste eseguite).
- Le tabelle sono state aggiunte a mod_lua r: headers_in_table, r: headers_out_table, r: err_headers_out_table, r: notes_table er: subprocess_env_table, disponibile in modalità di sola lettura. Consenti di impostare le tabelle su null.
Per la parte degli errori corretti in questa nuova versione:
- CVE-2020-1927: vulnerabilità in mod_rewrite, che consente di utilizzare il server per inoltrare le chiamate ad altre risorse (reindirizzamento aperto). Alcune impostazioni di mod_rewrite possono portare l'utente a un altro collegamento codificato utilizzando il carattere di avanzamento riga all'interno del parametro utilizzato nel reindirizzamento esistente.
- CVE-2020-1934: vulnerabilità in mod_proxy_ftp. L'utilizzo di valori non inizializzati può causare una perdita di memoria durante l'invio di richieste a un server FTP controllato da un utente malintenzionato.
- Una perdita di memoria in mod_ssl che si verifica quando le richieste OCSP vengono unite.
Infine se vuoi saperne di più riguardo a questa nuova versione, puoi controllare i dettagli in il seguente collegamento.
Scarico
Puoi ottenere la nuova versione andando sul sito web ufficiale di Apache e nella sua sezione download troverai il link alla nuova versione.