脆弱性修正

* CVE-2024-27316: Apache HTTP Server: 際限のない連続したフレームによるメモリ枯渇となる HTTP/2 DoS。HTTP/2 入力ヘッダで制限を超えたものは一時的に nghttp2 のバッファに入れられて、有用な情報を含む HTTP 413 レスポンスの生成に備えます。クライアントがヘッダを送るのを止めない場合は、このためにメモリが枯渇します。この問題が修正されました。(CVE-2024-27316)

* CVE-2024-24795: Apache HTTP Server: HTTP レスポンスの複数モジュールでの分割。Apache HTTP Server での HTTP レスポンスの複数モジュールでの分割により、攻撃者は悪意のあるレスポンスヘッダをバックエンドアプリケーションに注入することで、HTTP desync 攻撃を引き起こすことができます。この問題が修正されました。(CVE-2024-24795)

* CVE-2023-38709: Apache HTTP Server: HTTP レスポンス分割。Apache core の誤った入力検査により、悪意のある、あるいは発現可能なバックエンド/コンテントジェネレータが HTTP レスポンスを分割することを許していました。この問題が修正されました。バージョン 2.4.58 までの Apache HTTP Server がこの問題の影響を受けます。(CVE-2023-38709)

不具合修正

* mod_deflate: 様々なエラーや例外的なケースの処理についてログ出力が修正および改善されました。

* CGIScriptTimeout が mod_cgi に追加されました。

* mod_xml2enc: libxml2 2.12.0 およびそれ以降が使用できるようになりました。

* mod_slotmem_shm: ap_os_is_path_absolute() を使用することで移植性が向上しました。

* mod_ssl: SSLCACertificatePath/SSLCADNRequestPath 向けの CA 名のリストを組み立てる際に OpenSSL 標準の機能が使われるようになりました。名前は一貫性を持って整列されます。(PR 61574)

* mod_xml2enc: 任意の text/ メディアタイプ、あるいは任意の XML メディアタイプを受け付ける検査が RFC 7303 に従うように更新されました。これにより、Microsoft OOXML フォーマットの破壊が回避されます。(PR 64339)

* mod_http2: v2.0.26 に更新され、以下の修正が行われています。
– HTTP/1.1 からアップグレードされた (h2c) `Date` ヘッダが修正されました。<https://github.com/icing/mod_h2/issues/272> が修正されています。
– h2 ヘッダバケットの解放における小さなメモリリークが修正されました。

* htcacheclean: -a/-A モードで、サブディレクトリ毎のファイルを一つだけでなく、全て一覧表示するようになりました。(PR 65091)

* mod_ssl: SSLProxyMachineCertificateFile/Path は、CA 証明書を含むファイルを参照することができるようになりました。これらの CA 証明書は SSLProxyMachineCertificateChainFile で設定されたかのように取り扱われます。

* htpasswd, htdbm, dbmmanage: ヘルプメッセージやドキュメントでパスワードの “encrypting” としていたところが、”hashing” に置き換えられました。

* LibreSSL 2.0.7 を使用した場合のビルドの問題が修正されました。(PR 64047)

* SHA-2 を使用するパスワードのサポートが追加されました。

* core: mod_env がシステムの環境変数を上書きできるようになりました。

* mod_dav_fs が、PROPINFO および、apr_dir_read() と apr_stat() の間でディレクトリやファイルを削除する操作の間の競合条件を許容するようになりました。現在の動作は接続をアボートしますが、これはエラーを許しつつログ出力を行うのに比べると劣ると思われます。

* mod_ldap: ldap-status ハンドラでデータが HTML エスケープされるようになりました。

* mod_ssl: OPENSSL_NO_ENGINE が設定されている場合は OpenSSL ENGINE API が無効化されるようになりました。特に OpenSSL >= 3 など、ENGINE API が利用可能でない場合には “SSLCryptoDevice builtin” が許されるようになりました。(PR 68080)

* mod_ssl: OpenSSL 3 との互換性が改善されました。非推奨となった ENGINE_ API についてのビルド時の警告が修正されました。デフォルトをバージョン 1.1.1 との互換性維持とする場合に OPENSSL_API_COMPAT 設定が参照されるようになりました(ENGINE / SSLCryptoDevice を含みます)。

* mod_ssl: 必要に応じてメモリが OS に返されるようになりました。

* mod_proxy: URL のホスト名あるいはポート部分で何らかのドル記号による置換(後方参照)が発生した場合に ProxyPassMatch で enablereuse=on が無視され、警告が出るようになりました。

* mod_proxy: バックエンドシステムの DNS 名前解決結果をどれぐらい長くキャッシュするかについて TTL が設定できるようになりました。

* mod_proxy: ProxyRemote にオプションの3番目の引数が追加されました。この引数は、リモートへ渡す Basic 認証のクレディンシャルを設定します。(PR 37355)

詳細は以下をご覧ください。

https://downloads.apache.org/httpd/CHANGES_2.4

脆弱性修正

* Apache HTTP Server には、HTTP/2 ストリームのメモリが RST の際に直ちに回収されていませんでした。HTTP/2 ストリームがクライアントによりリセットされた(RST フレーム)場合、リクエストのメモリリソースがすぐには回収されない時間ウィンドウが存在していました。すぐに回収されずに、解放が接続のクローズ時まで遅延されていたのです。クライアントは、新たなリクエストとリセットを送ることで、接続をビジーでオープンのままとし続けることができ、メモリのフットプリントを増大させ続ける可能性がありました。接続のクローズ時には、全てのリソースが回収されますが、プロセスはその前にメモリを使い果たす可能性があったのです。この問題は、報告者によって、彼ら自身のテストクライアントを使った CVE-2023-44487 (HTTP/2 Rapid Reset Exploit) のテスト中に発見されました。「通常の」HTTP/2 の使用方法であれば、このバグに遭遇する確率は非常に低いです。メモリが確保され続けていることは、接続のクローズ時やタイムアウトが発生するまでは気がつくのが困難です。ユーザはバージョン 2.4.58 にアップグレードすることが推奨されます。この問題が修正されています。(CVE-2023-45802)

* Apache HTTP Server には、初期ウィンドウサイズが 0 の HTTP/2 による DoS の可能性がありました。攻撃者は、初期ウィンドウサイズ 0 の HTTP/2 接続をオープンすることで、Apache HTTP Server でのその接続の処理を永久にブロックすることができました。これは、いわゆる「スローロリス」攻撃パターンに類似の方法で、サーバのワーカリソースを使い果たすのに使用することができました。この問題はバージョン 2.4.58 で修正され、問題となる接続は設定された接続タイムアウト時間後に適切に終了されます。この問題は、Apache HTTP Server の 2.4.55 から 2.4.57 に影響します。ユーザはバージョン 2.4.58 にアップグレードすることが推奨されます。この問題が修正されています。(CVE-2023-43622)

* mod_macro: Apache HTTP Server の mod_macro に境界外読み出しの脆弱性がありました。この問題は 2.4.57 までの Apache HTTP Server に影響します。(CVE-2023-31122)

不具合修正

* mod_ssl: OpenSSL 3 使用時に SSL_OP_IGNORE_UNEXPECTED_EOF が設定されている場合は、”SSL Library Error: error:0A000126: SSL routines::unexpected eof while reading” というログメッセージが出ないようになりました。

* mod_http2: ストリームの早期クリーンアップが改善されました。

* mod_proxy_http2: 応答が既に進行中の場合の接続エラーのエラー処理が改善されました。

* mod_http2: 主接続の出力処理でクラッシュにつながるバグが修正されました。これは、HTTP/2 接続上の最後のリクエストの処理が完了し、セッションがシャットダウンすることを決めたときにだけ発生します。この問題により、以前の書き出しが依然として進行中にも関わらず最終的な GOAWAY を送信しようとすることにつながる可能性がありました。詳細は PR 66646 を参照してください。(PR 66646)

* mod_proxy_http2: `X-Forward-Host` ヘッダが正しい値を伝えるよう修正されました。PR66752 の修正となります。(PR66752)

* mod_http2: RFC 8441 に記載されているような、HTTP/2 経由の WebSocket のブートストラップのサポートが追加されました。新たなディレクティブ ‘H2WebSockets on|off’ が追加されました。この機能はデフォルトでは有効化されません。マニュアルにも記載があるように、この機能は “ProxyPass backend-url upgrade=websocket” という設定を使って、それ以上の変更なしの設定で動作するはずです。将来的には WebSocket 用の特殊サーバモジュールが、まずは IO イベントが HTTP/2 のものとは異なる場合の処理用として適応されるでしょう。HTTP/2 WebSocket はネイティブのパイプを持つプラットフォームでサポートされます。これは Windows には当てはまりません。

* mod_rewrite: OSCP ステープリングでの末尾の ? と [QSA]. 両方でのリグレッションが修正されました。(PR 66672)

* mod_http2: 既にクローズされた接続で未処理データをフラッシュする処理のバグが修正されました。このバグにより、ビジーループが発生し、HTTP/2 セッションが無事クローズされるのを妨げていました。PR 66624 の修正となります。(PR 66624)

* mod_http2: v2.0.15 で以下の修正、改善が行われました。
– 新たなディレクティブ ‘H2EarlyHint name value’ が追加され、レスポンスにヘッダを追加します。”103 Early Hints” が送信されたときに既に取り上げられていたものです。’name’ および ‘value’ は、HTTP のフィールドの制約に従わなければなりません。このディレクティブは何度も繰り返すことができ、同じ名前のヘッダフィールドが追加されます。’Link’ ヘッダに ‘preload’ リレーションをつけて送信すると、クライアント側で有効化され、サポートされていれば、HTTP/2 PUSH を行うこともできます。
– 接続が “keepalive” handling” に戻った時に、例えば、処理されたリクエストが最後の未解決のリクエストだった場合などにリクエストがタイミングよくログ出力やアカウント処理が行われていなかった問題が修正されました。この問題により、アクセスログに現れるのが遅くなり、間違った持続時間が報告されていました。
– リクエストで送信されたバイト数が ‘%O’ ログフォーマットで正確に報告されるようになりました。これは #203 を解決します。この問題は、長く未解決だった問題で、mod_h2 が、実際に接続に配置された数ではなく、内部バッファから大きすぎる数を報告していました。バイト数は今では H2CopyFiles が有効化されていてもいなくても同じになります。

* mod_proxy_http2: リトライ処理が一時的なエラーをリークしないように修正されました。既存の接続が他方によりシャットダウンされたことを検知する際、503 レスポンスが、リクエストが新たな接続でリトライされた場合でもリークしていました。

* mod_rewrite: mod_rewrite は test_char.h を必要とするので、 ‘server’ ディレクトリがインクルードパスに追加されるようになりました。(PR 66571)

* mod_http2: 新たなディレクティブ `H2ProxyRequests on|off` が追加され、フォワードプロキシ設定での HTTP/2 リクエストの処理が有効化できるようになりました。一般のフォワードプロキシは ProxyRequests` で有効化されます。HTTP/2 プロトコルがそのようなサーバ/ホストでも有効化する場合は、この新たなディレクティブが追加で必要になります。

* core: conf/mime.types が更新されました。
– .js が ‘application/javascript’ から ‘text/javascript’ に移動されました。
– .mjs が ‘text/javascript’ として追加されました。
– .opus (‘audio/ogg’) が追加されました。
– ‘application/vnd.geogebra.slides’ が追加されました。
– WebAssembly MIME タイプと拡張が追加されました。

* mod_proxy_http2: データをフロントエンド側で送信する際に、バックエンド接続で間違った “bucket_alloc” を使用していた問題が修正されました。この問題により、稀にクラッシュや無限ループを引き起こしていました。

* mod_proxy_http2: リトライ/レスポンス処理のバグが修正されました。このバグにより、誤ったステータスコードになっていたり、レスポンス本体の最後で送信される HTTP メッセージのサイズがアナウンスされた content-length を超えるなどの問題が起こる可能性がありました。

* mod_http2: bucket_beam が破壊されたとき、消費済みのバケットと保留中のバケットの整理の順番が間違っていた問題が修正されました。

* mod_http2: 内部リダイレクトの際の二重の chunked-encoding が回避されるようになりました。(PR 66597)

* mod_http2: server-status の `Total Accesses` のレポートで HTTP/2 リクエストを二重にカウントしないように修正されました。(PR 66801)

* mod_ssl: OCSP ステープリングでの証明書失効メッセージの処理が修正されました。(PR 66626)

* mod_http2: ストリームのタイムアウト処理のバグが修正されました。

* mod_tls: rustls-ffi がバージョン 0.9.2 以降に更新されました。適切なバージョンがインストールされるよう configure でチェックが行われます。変更された clienthello メンバ名に対するコードも修正されています。

* mod_md:
– 新たなディレクティブ `MDMatchNames all|servernames` によって、MDomains がどのように VirtualHosts にマッチするかをよりコントロールができるようになりました。
– 新たなディレクティブ `MDChallengeDns01Version` が追加されました。これを `2` に設定すると、コマンドに `teardown` 起動時のチャレンジ値も提供します。デフォルトのバージョン 1 の場合は、`setup` 起動時にだけこのパラメータを受け取ります。#312 を参照してください。
– “manual” モードにある Managed Domain について、全ての使用されている ServerName と ServerAlias が MDomain の一部である場合、全ての名前が存在しているわけではない場合は、チェックの際に、エラー (AH10040) ではなく警告を報告するようになりました。
– MDChallengeDns01 が、個々のドメイン毎に設定できるようになりました。
– チャレンジティアダウンが起動されるべきときに起動されない問題が修正されました。

* OpenLDAP 2.2 以降向けの APR-util のりバインドキャッシュの性能オーバヘッドが回避されました。(PR 64414)

* mod_http2: 新たなディレクティブ ‘H2MaxDataFrameLen n’ が追加されました。これは、一個の HTTP/2 DATA フレームに収めることのできるレスポンス本体のバイト数の最大量を指定します。これを 0 に設定すると制限がなくなります(しかし、プロトコルで許される最大サイズが効いてきます)。デフォルトでは、このモジュールは、可能な最大サイズを使うことを試みます。これは 16KB 周辺の値となります。これは最大値を設定します。利用できるレスポンスデータがもっと少ない場合は、より小さなフレームが送信されます。

* mod_md: MDMessageCmd と MDChallengeDns01 経由で開始される、サーバの環境変数をプログラムに渡す処理が *nix システムで修正されました。https://github.com/icing/mod_md/issues/319 を参照してください。

* mod_dav: リポジトリのルートパスを設定するための DavBasePath ディレクティブが追加されました。(PR 35077)

* mod_alias: AliasPreservePath ディレクティブが追加されました。これは、ある位置にあるエイリアスの後でフルパスをマップするのに使われます。

* mod_alias: RedirectRelative ディレクティブが追加されました。これは、相対的なリダイレクトターゲットがそのまま発行されることを許します。

* core: 新たなフォーマット %{z} および %{strftime-format} が ErrorLogFormat に追加され、これらのフォーマットが充分早く設定されれば、全てのログ行に適用されることが保証されます。(PR 62161)

* mod_deflate: ETag がどのように変更されるかをコントロールする DeflateAlterETag が追加されました。’NoChange’ パラメータで 2.2.x の動作を模倣します。(PR 45023, PR 39727)

* core: send_brigade_nonblocking() が最適化されました。

* mod_status: 重複したキー “BusyWorkers” および “IdleWorkers” が削除されました。この二つの設定の間の矛盾が、SERVER_GRACEFUL 状態のワーカをビジーとはカウントせず、代わりに新たなカウンタ “GracefulWorkers” (あるいは “workers gracefully restarting” という HTML ビュー) でカウントすることにより解消されました。また、非同期 MPM 向けの既存のプロセステーブル毎の HTML に graceful counter が新たなカラムとして追加されました。(PR 63300)

詳細は以下をご覧ください。

https://downloads.apache.org/httpd/CHANGES_2.4