脆弱性修正

* mod_proxy: 2.4.55 より前の mod_proxy はバックエンドが HTTP レスポンスを分割させるトリガを許していました。Apache HTTP Server 2.4.55 より前のバージョンでは、悪意のあるバックエンドがレスポンスヘッダを早期に切り詰めることができ、結果としていくつかのヘッダがレスポンスの本体に取り込まれてしまっていました。後の方のヘッダがなにかセキュリティ目的であれば、クライアントにそれが解釈されないことになります。この問題が修正されました。(CVE-2022-37436)

* mod_proxy_ajp: mod_proxy_ajp でリクエストスマグリングが可能になっていました。Apache HTTP Server の mod_proxy_ajp には HTTP リクエストの一貫性のない解釈(「HTTP リクエストスマグリング」)の脆弱性があり、攻撃者がリクエストの転送先の AJP サーバへのリクエストにスマグリングを行わせることが可能になっていました。この問題は Apache HTTP Server 2.4 系列のバージョン 2.4.54 およびそれ以前のバージョンに影響します。この問題が修正されました。(CVE-2022-36760)

* mod_dav: mod_dav には境界外読み込みやゼロのバイトの書き込みの問題がありました。注意深く作成した If: リクエストヘッダにより、送られてきたヘッダの値を超えた位置のプール(ヒープ)メモリ領域でのメモリの読み出しや、一個の値ゼロのバイトの書き込みが可能になっていました。これによりプロセスがクラッシュする可能性がありました。この問題は Apache HTTP Server 2.4.54 およびそれ以前のバージョンに影響します。この問題が修正されました。(CVE-2006-20001)

不具合修正

* mod_dav: ロック用データベースが可能な場合は読み込み専用でオープンされるようになりました。(PR 36636)

* mod_proxy_http2: 他の proxy モジュールが行っているように、バックエンドからの応答に標準的な httpd の content type 処理が適用されるようになりました。(PR 66391)

* mod_dav: mod_dav は PUT 失敗時の dav_fs の応答を上書きしていました。この問題が修正されました。(PR 35981)

* mod_proxy_hcheck: worker の timeout 設定が尊重されるようになりました。

* mod_http2: 本モジュールのバージョン 2.0.10 が github バージョンの変更と同期されました。これは、接続とストリームの処理方法の部分的な書き換えです。
– APR の pollset と pipes が(サポートされていれば)を使用して、主接続の監視が行われ、リクエスト/レスポンスの処理用の IO への対応が行われるようになりました。以前のバージョンの間欠的な待ちを低減させます。

– H2SerializeHeaders ディレクティブは依然として存在しますが、何も効果がなくなりました。

– 動作が誤っているように見えるクライアントについては依然として割り当てられるリソースが少なくなりますが、継続中のリクエストが中断されることはなくなりました。

– プロキシ経由のリクエストの “Server” ヘッダが保存されずに上書きされるという、バージョン 1.15.24 以来の問題が修正されました。

– v1.15.24 でのリグレッションが修正されました。この問題により、httpd の子プロセスが graceful リロードや MaxConnectionsPerChild に達した際に修されませんでした。未処理の h2 リクエストがその時点でキューに投入されると、ストールする可能性がありました。#212 (https://github.com/icing/mod_h2/issues/212) を参照してください。

– Extended Status が有効化されいている場合に、H2 接続について ‘server-status’ で表示される情報が改善されました。IO 操作が発生した、あるいは転送された IO 状態が更新された最新のリクエストを参照することができるようになりました。

– MaxRequestsPerChild などのサーバの制限に達した場合、HTTP/2 接続を新しい接続については GOAWAY フレームを送信するのが早すぎており、不正なプロトコル状態となり、クライアントがリクエストに失敗していました。PR65731 <https://bz.apache.org/bugzilla/show_bug.cgi?id=65731> を参照してください。本モジュールは HTTP/2 プロトコルを正しく初期化するようになり、GOAWAY フレームがアナウンスされることによるシャットダウンの前にクライアントが一個のリクエストをサブミットすることが可能になりました。

– :scheme 疑似ヘッダの値が接続のスキームに一致しない場合、絶対 URI 経由で http プロトコル処理に転送され、リクエストのセマンティックスが保存されるようになりました。疑似ヘッダの値やその存在の組み合わせの検査が、RFC 7540 に記載されているように追加されました。#230 (https://github.com/icing/mod_h2/issues/230) の修正です。

– 抑止されたトレーラ(例えば、末尾にある HEADER フレームなど)が特定の場合に生成されるバグが修正されました。詳細は #233 (https://github.com/icing/mod_h2/issues/233) を参照してください。この問題では、gRPC のレスポンスが正しく生成されるのを妨害していました。

– リクエストおよびレスポンスのヘッダ値の前後の空白/タブ文字が自動的に除去されるようになりました。これは、Apache httpd の http/1.1 のパーサが行っているのと同じ動作です。nghttp2 v1.50.0+ でのこの検査は無効化されました。

– v2.0.x バージョンの安定性に向け、精力的な製品テストが行われました。

* mod_proxy_http2: リクエストの ‘:authority’ が既知である場合には ‘Host:’ ヘッダを転送しないことにより、#235 が修正されました。以前の修正が正しくなかったことを捕捉できなかったテストケースが改善されました。

* mod_proxy_hcheck: hcmethod が、GET11, HEAD11, OPTIONS11 を使用した HTTP/1.1 リクエストを許すようになりました。

* mod_proxy: 強制的なバックエンド接続のクローズについての AH03408 警告が INFO レベルでログ出力されるようになりました。

* mod_ssl: 設定をダンプする際、証明書ファイルや鍵ファイルの存在はテストされなくなりました。

* mod_authn_core: AuthName と AuthType に式のサポートが追加されました。

* mod_ssl: プロキシ接続で SSL を使用したリクエストを処理した場合、”SSLProxyEngine” がサーバ全体ではなく、location または proxy セクションでのみ設定されていた場合にエラーがログ出力されていました。その接続は機能し続けるので、エラーログ出力が誤っていました。この問題が修正されました。(PR66190)

* mod_proxy_hcheck: 標準の ERROR 状態でワーカが再度有効化されました。(PR 66302)

* mod_proxy_hcheck: AJP/CPING サポートが正しく検知されるようになりました。(PR 66300)

* mod_http2: mod_http2.h が公開ヘッダとしてエクスポートされました。

* mod_md: 新たなディレクティブ `MDStoreLocks` を使って、`MDStoreDir`向けの共有ファイルシステムとのクラスター設定で、いくつものクラスターノードが同時に再起動した場合に更新された証明書の活性化の指示ができるようになりました。格納時のロックはデフォルトでは有効化されていません。v2.4.14 から curl_easy のクリーンアップの動作がリストアされ、OCSP リクエストに対する curl_multi の使用方法がそれと協調動作するようにリファクタリングされました。<https://github.com/icing/mod_md/issues/293> の修正です。

* core: ap_is_matchexp での大きい入力でのオーバフローが回避されるようになりました。(PR 66033)

* mod_heartmonitor: “HeartbeatMaxServers 0” で slotmem の代わりにファイルベースのストレージを使うことができるようになりました。バージョン 2.4.54 で HeartbeatMaxServers のデフォルト値がマニュアル記載の値 10 に設定された後、これが必要になっていました。(PR 66131)

* mod_dav: DAVlockDiscovery オプションで WebDAV のロックディスカバリを無効化することができるようになりました。これは、クライアントが PROPFIND を大量に使用する場合に性能が大幅に改善される可能性があります。(PR 66313)

詳細は以下をご覧ください。

https://dlcdn.apache.org/httpd/CHANGES_2.4

脆弱性修正

* Apache HTTP Server 2.4.53 および、それ以前のバージョンは、クライアント側の Connection ヘッダのホップバイホップ機構に基づき、X-Forwarded-* ヘッダをオリジンサーバに送信していませんでした。このことを使うことで、オリジンサーバ/アプリケーションの IP ベースの認証をバイパスすることが可能でした。(CVE-2022-31813)

* Apache HTTP Server 2.4.53 および、それ以前のバージョンは、バッファ用に確保された格納領域の終端を越えたところを指す長さを r:wsread() を呼び出したアプリケーションに返す可能性がありました。(CVE-2022-30556)

* Apache HTTP Server 2.4.53 が、mod_sed に対する入力が非常に大きい場合に mod_sed による変換を行うよう設定されていると、mod_sed は極端に大きなメモリを確保しようとし、アボートを引き起こす可能性がありました。(CVE-2022-30522)

* Apache HTTP Server 2.4.53 および、それ以前のバージョンでは、r:parsebody(0) を呼び出す Lua スクリプトに対する悪意のあるリクエストが、可能な入力サイズにデフォルトの制限値がないことによるサービス妨害を引き起こす可能性がありました。(CVE-2022-29404)

* Apache HTTP Server 2.4.53 および、それ以前のバージョンは、極端に大きな入力バッファが与えられた場合、ap_strcmp_match() で境界を越えた読み込みにより、クラッシュするか、あるいは情報漏洩を起こす可能性がありました。httpd と共に配布されるコードにはそのような呼び出しを強制される可能性はありませんが、ap_strcmp_match() を使う、サードパーティ製モジュールや Lua スクリプトは理論上は影響を受ける可能性があります。(CVE-2022-28615)

* Apache HTTP Server 2.4.53 および、それ以前のバージョンの ap_rwrite() 関数は、攻撃者が、mod_luas r:puts() 関数などのように、ap_rwrite() または ap_rputs() を使って非常に大きな入力であることをサーバに反映させることができれば、意図していないメモリを読み出す可能性がありました。(CVE-2022-28614)

* Windows 上の Apache HTTP Server 2.4.53 および、それ以前のバージョンは、mod_isapi モジュールでリクエストを処理するよう設定されていた場合、境界を越えて読み出しを行う可能性がありました。(CVE-2022-28330)

* Apache HTTP Server の mod_proxy_ajp の一貫性のない HTTP リクエストの解釈 (‘HTTP Request Smuggling’) の脆弱性により、攻撃者は、AJP サーバへのリクエストをそれがリクエストを転送する先に密輸することを可能にします。この問題は、Apache HTTP Server 2.4.53 および、それ以前のバージョンに影響します。(CVE-2022-26377)

不具合修正

* mod_ssl: SSLFIPS の OpenSSL 3.0 との互換性が修正されました。(PR 66063)

* mod_proxy_http: 転送不可の 100-continue に対する 417 応答が回避されました。(PR 65666)

* mod_md: 7KBを超える組み合わせ DNS 名を持つ非常に巨大な MDomain を失敗させるバグが修正されました。これは、リクエスト本体が非初期化メモリからの部分的に間違ったデータを含んでいることによるものです。この問題は、そのような構成をサインアップ/更新する際の失敗として現れます。

* MPM event: アイドルメンテナンスの前に終了させられた子プロセスが再起動されるようになりました。(PR 65769)

* ab: SSL ライブラリがサポートしている場合は、TLSv1.3 が許されるようになりました。

* core: OSX 上で TCP_NOPUSH 最適化が無効化されました。転送の遅延が発生するためです。(PR 66019)

* MPM event: graceful でない再起動の際のアクティブプロセス、全プロセスのアカウンティングが修正されました。(PR 66004)

* core: ap_escape_quotes() が、MAX_INT/2 文字を超える文字列について、引用符について二重にカウントして正しく動作するようになりました。

* mod_md: `MDCertificateAuthority` ディレクティブが、ACME CA の URL または名前を複数取ることができるようになりました。これにより、何回も証明書を入手する試みが失敗した場合の更新に対するフェールオーバが可能になります。新たなディレクティブ `MDRetryDelay` が追加されました。これは、リトライの遅延を設定します。もうひとつ、新たなディレクティブ `MDRetryFailover` が追加されました。これは、証明書の更新の際に代替えの CA が選択される前にエラーとなる試みの数を設定します。

* mod_http2: 使用されおらず、安全でないコードが削除されました。(PR66037)

* mod_proxy: バックエンドのポート番号がログメッセージに追加され、関連するサービスの特定がしやすくなりました。

* mod_http2: 接続がクライアントにより不正な使い方をされている可能性がある場合の実行中のタスクのスケジューリングの取り消しが削除されました。これが逆効果であることが証明されており、不正な使用の検知は、サーバサイドのイベントを使ったリクエストに間違ったフラグを立てる可能性があります。

* mod_md: 完全な自動状態(“key: value” 型の状態出力)が実装されました。特に、証明書と OCSP ステープリングの状態要約数だけでなく、一覧も含みます。自動状態のフォーマットは、mod_proxy_balancer で使われていたものと同様です。

* mod_md: 一回の実行で 6 個より多い証明書の更新が必要な場合に、OCSP ステープリング情報の転送の失敗につながるバグが修正されました。

* mod_proxy: 転送リクエストに対する応答で接続をバックエンドが単にクローズした場合の状態コードが 502 に設定されるようになりました。

* mod_md: 持続する時間間隔(start+end)用の JSON コード中の潜在的な NULL ポインタ逆参照が修正されました。

* mod_heartmonitor: HeartbeatMaxServers の値として “0” の代わりに、文書に記載されているデフォルト値 “10” が設定されました。”0″ に設定されていると、共有メモリ slotmem が初期化されませんでした。

* mod_md: 安全なネットワークのユーザ向けのローカルの tailscale デーモン経由での証明書の管理のサポートが追加されました。これにより、*.ts.net 空間で tailscale がアサインしたドメイン名向けの信頼できる証明書が与えられます。

詳細は以下をご覧ください。

https://downloads.apache.org/httpd/CHANGES_2.4