Доступен (http://www.apache.org/dist/httpd/Announcement2.4.html) корректирующий релиз http-сервера Apache 2.4.4 в котором устранено 2 уязвимости и представлено 59 исправлений (http://www.apache.org/dist/httpd/CHANGES_2.4). Исправленные уязвимости (CVE-2012-3499, CVE-2012-4558) помечены как неопасные и проявляются возможностью подстановки HTML-кода (XSS) в вывод модулей mod_info, mod_status, mod_imagemap, mod_ldap и mod_proxy_ftp, из-за отсутствия должного экранирования спецсимволов в имени хоста, а также через передачу специально оформленных параметров в управляющий интерфейс mod_proxy_balancer.
Из не связанных с безопасностью исправлений (http://www.apache.org/dist/httpd/CHANGES_2.4) можно отметить:
- В mod_ssl добавлена поддержка TLS-SRP (Secure Remote Password key exchange for TLS, RFC 5054). Для предотвращения атак типа "CRIME (http://www.opennet.me/opennews/art.shtml?num=34869)", по умолчанию отключена поддержка сжатия, значение SSLCompression теперь установлено в off;
- В htpasswd и htdbm добавлена поддержка алгоритма bcrypt и обеспечена генерация случайного 42-битового salt. В качестве более безопасной альтернативы указания пароля с опцией "-b", добавлена возможность чтения пароля из стандартного ввода;- В mod_dir для опции FallbackResource добавлена поддержка значения 'disabled';
- В mod_lua добавлены биндинги для доступа к БД mod_dbd/apr_dbd;
- В mod_proxy обеспечено сохранение между перезапусками настроек, добавленных через интерфейс настройки балансировщика (balancer-manager);
- В mod_status добавлен вывод информации когда последний раз использовался виртуальный хост;
- В mod_proxy_http указание 0 в параметре LimitRequestBody теперь воспринимается как отсутствие ограничений;
- В скрипте configure налажена обработка опций "--disable-FEATURE" для ряда возможностей;
- В ab обеспечена поддержка TLS1.1/TLS1.2 в качестве аргумента опции "-f". Добавлена возможность указания таймаута для сокета (-s timeout);- В mod_auth_form добавлена поддержка парсинга выражений для директив AuthFormLoginRequiredLocation, AuthFormLoginSuccessLocation и
AuthFormLogoutLocation;
- В mod_rewrite прекращено слияние параметров RewriteBase вниз по директориям без указания опции 'RewriteOptions MergeBase';- Модули и rotatelogs переведены с apr_file_write() на apr_file_write_full() для избежания неполной записи данных;
- В mod_proxy_ftp устранён крах при выполнении IPv4 запросов к хостам с AAAA-записями в DNS;
- В mod_auth_form устранены проблемы с заполнением переменной окружения REMOTE_USER при выполнении подзапроса через mod_include;
- В mod_header добавлена возможность вывода параметров нагрузки на сервер (loadavg) через указание переметров %l, %i, %b. В ядро httpd добавлена реализация функций ap_get_sload() и ap_get_loadavg();
- Работа ErrorDocument обеспечена в том числе для запросов без указания заголовка Host;- В mod_proxy при слиянии значения PPR добавлена защита от объединения комбинации ".../" и "/...", приводящей в результате к пути "...//...";
- Устранены ошибки и проблемы, приводящие к краху, в mod_proxy, htcacheclean, mod_slotmem_shm, mod_proxy_balancer, mod_dialup, httxt2dbm, mod_xml2enc, mod_cache_disk, mod_session_dbd, mod_ldap.URL: http://www.apache.org/dist/httpd/Announcement2.4.html
Новость: http://www.opennet.me/opennews/art.shtml?num=36215
Apache HTTP Server -- уже умеет делать перенаправление внешних запросов на внутренний http-сервер (beckend) ---- через unix-domain-socket (а не через ip-адрес)?у кого-нибудь получалось?
Какое-то сомнительное занятие - ставить фронтом апач на той же машине перед каким-то другим http-сервером. А можно прояснить - какая хотя бы приблизительно архитектура реализуется?
modsecurity пока никто не отменял так что - порой апач стоит и пока будет стоять впереди увы, ждём конца года пока модсек допилят в нджинксе. хотя бы минимальный функционал тупа детектить по регексам
а почему бы и нет, у меня стоит апач, а за ним Asterisk HTTP и Django но это конечно только для нашей не большой локалки
> Какое-то сомнительное занятиена мой взгляд -- более сомнительное занятие -- подкллючать демоны между собой через ip-адрес 127.0.0.1 (вместо UDS) .. к тому же я не могу прописать права на 127.0.0.1, а на socket-файл мог-бы :)
> какая хотя бы приблизительно архитектура реализуется?
Apache ---- как frontend
CherryPy/Bottle (+плюшки) ---- как backendпочему именно Apache, а не например Nginx или lighttpd? просто потомучто интересно как это сделать в Apache
> на мой взгляд -- более сомнительное занятие -- подкллючать демоны между собой через ip-адресДа я сомневался именно в апаче на фронте, а не в сокетах...
Судя по https://issues.apache.org/bugzilla/show_bug.cgi?id=54101#c1 есть шанс увидеть только в будущих релизах, хотя закладывались на 2.4.3