Вышел корректирующий релиз http-сервера Apache 2.2.17Вышел релиз http-сервера Apache 2.2.17 в который внесено 13 исправлений. Кроме того, в новой версии устранено три уязвимости в поставляемых в составе Apache дополнительных компонентах: DoS-уязвимость (исчерпание доступной памяти) в утилите apr и две DoS-уязвимости (крах процесса) во встроенном варианте библиотеки Expat, связанные с возможностью переполнения буфера в момент парсинга XML-данных, содержащих некорректные последовательности символов в UTF-8. Исправления, представленные в Apache 2.2.17: В prefork MPM исправлена проблема с обработкой последнего запроса, в случае gracefull-перезапуска; В mod_reqtimeout неправильно выставлялись таймауты для соединений через mod_proxy и обработчиков протоколов, подобных mod_ftp; В Proxy-балансировщике добавлена поддержка установки кода HTTP-ошибки на основании данных HTTP-ответа от бэкенда; В mod_authnz_ldap при установке директивы AuthLDAPCharsetConfig теперь перекодированию в UTF-8 подлежат также и пароли; Добавлена проверка владельца символических ссылок, в случае когда одновременно активны директивы FollowSymlinks и SymlinksIfOwnerMatch; Исправлена проверка происхождения ссылки в SymlinksIfOwnerMatch; В mod_headers включена опция замены нескольких подпадающих под маску значений (multi-match-and-replace); В mod_log_config при указании ${cookie}C совпадения ищутся только среди имен cookie, вместо поиска подстроки по всем данным; В mod_dir и mod_negotiation обеспечено прохождение информации о выходном фильтре для вновь созданных подзапросов, что позволяет впоследствии использовать их в роли полноценных запросов в рамках внутреннего редиректа; В коде ротации логов устранено потенциальное переполнение буфера, при задании администратором в файле конфигурации множественного файлового пути к логам. В mod_ssl устранено перекрытие вызова memcpy; При обработке заголовка "Host:" c цифровыми данными, часть этих данных больше не воспринимается при определенных ситуациях как номер порта; Представлена ранее недокументированная опция httpd "-T", позволяющая отключить проверку на наличие DocumentRoot в момент запуска.
Распечатано с HostDB.ru.
|