La Apache Software Foundation onthuld Een paar dagen geleden de release van de nieuwe versie van de HTTP-server "Apache 2.4.43", die 34 wijzigingen en 3 opgeloste kwetsbaarheden presenteert, naast een reeks verbeteringen ten opzichte van versie 2.2.
Voor degenen die niet bekend zijn met Apache, moeten ze weten wat het is een open source HTTP-webserver, die beschikbaar is voor Unix-platforms (BSD, GNU / Linux, enz.), Microsoft Windows, Macintosh en andere.
Wat is er nieuw in Apache 2.4.43?
Deze nieuwe versie van de server wordt als belangrijk beschouwd aangezien het het einde van de levensduur van de 2.2x-tak markeert en dat deze versie is gebaseerd op de Apache 2.2 API en deze uitbreidt en de modules die voor Apache 2.2 zijn geschreven, opnieuw moeten worden gecompileerd om met Apache 2.4 te kunnen worden uitgevoerd.
Een van de belangrijkste veranderingen die opvallen in deze versie is de een nieuwe module "mod_systemd" toevoegen, dat biedt integratie met Systemd-systeembeheerder en dat maakt het mogelijk om httpd te gebruiken in services met het type »Type = melden».
Bovendien heeft mod_md module mogelijkheden ontwikkeld door het Let's Encrypt-project om de ontvangst en het onderhoud van certificaten te automatiseren met behulp van het ACME-protocol (Automatic Certificate Management Environment) worden uitgebreid.
Uit de wijzigingen in de modules kunnen we dat vinden voor mod_authn_socache de limiet voor de grootte van de gecachte regel is verhoogd van 100 naar 256.
In mod_ssl wordt over het TLS-protocol onderhandeld samen met virtuele hosts (compatibel met compileren met OpenSSL-1.1.1 +.
Mod_ssl heeft ondersteuning toegevoegd voor het gebruik van OpenSSL ENGINE privésleutels en certificaten bij het specificeren van PKCS # 11 URI in SSLCertificateFile / KeyFile.
mod_proxy_hcheck heeft ondersteuning toegevoegd voor% {Content-Type} masker in testuitdrukkingen.
De modi cookieSameSite, CookieHTTPOnly en CookieSecure toegevoegd aan mod_usertrack om cookieverwerking usertrack te configureren.
Mod_proxy_ajp voor proxy-stuurprogramma's implementeert de "geheime" parameter om het verouderde authenticatieprotocol AJP13 te ondersteunen.
Voor opdrachten die zijn gedefinieerd in de MDMessageCmd-instructie, wordt een aanroep met het argument "geïnstalleerd" gegeven wanneer een nieuw certificaat wordt geactiveerd nadat de server opnieuw is opgestart (het kan bijvoorbeeld worden gebruikt om een nieuw certificaat voor andere toepassingen te kopiëren of om te zetten).
De MDContactEmail-richtlijn is toegevoegd, waarmee u een contact-e-mailadres kunt specificeren dat niet overlapt met de gegevens in de ServerAdmin-richtlijn.
Van de andere veranderingen die zich onderscheiden van deze versie:
- Ondersteuning voor cross-compilatie is toegevoegd aan apxs.
- Voor alle virtuele hosts wordt ondersteuning geboden voor het protocol dat wordt gebruikt bij het onderhandelen over een beveiligd communicatiekanaal ("tls-alpn-01").
- Mod_md-richtlijnen zijn toegestaan in blokken Y
- Eerdere instellingen vervangen bij het opnieuw gebruiken van MDCAC-uitdagingen.
- Mogelijkheid toegevoegd om URL in te stellen voor CTLog Monitor.
- Toegevoegd configuratieset voor OpenWRT.
- Tests uitgevoerd met behulp van het Travis CI-systeem voor continue integratie.
- Geparseerde overdrachtscoderingskoppen.
- Door het gebruik van hashing voor de commandotabellen, is het herstarten in "graceful" mode versneld (zonder de uitgevoerde request handlers te onderbreken).
- Tabellen zijn toegevoegd aan mod_lua r: headers_in_table, r: headers_out_table, r: err_headers_out_table, r: notes_table en r: subprocess_env_table, beschikbaar in alleen-lezen modus. Toestaan dat tabellen worden ingesteld op null.
Voor het gedeelte van de gecorrigeerde fouten in deze nieuwe versie:
- CVE-2020-1927: kwetsbaarheid in mod_rewrite, waardoor de server kan worden gebruikt om oproepen door te sturen naar andere bronnen (open redirect). Sommige mod_rewrite-instellingen kunnen de gebruiker naar een andere gecodeerde link brengen met behulp van het line feed-teken binnen de parameter die wordt gebruikt in de bestaande omleiding.
- CVE-2020-1934: kwetsbaarheid in mod_proxy_ftp. Het gebruik van niet-geïnitialiseerde waarden kan een geheugenlek veroorzaken bij het verzenden van verzoeken naar een door een aanvaller beheerde FTP-server.
- Een geheugenlek in mod_ssl dat optreedt wanneer OCSP-verzoeken worden samengevoegd.
Eindelijk als je er meer over wilt weten over deze nieuwe release, kun je de details bekijken in de volgende link.
Ontladen
U kunt de nieuwe versie downloaden door naar de officiële Apache-website te gaan en in de downloadsectie vindt u de link naar de nieuwe versie.