Tag: httpd

mod_http3 v0.0.71 ha sido añadido al repositorio de CodeIT. Los paquetes se han compilado para RHEL, CentOS, AlmaLinux, Rocky Linux y Oracle Linux 7, 8, 9 y 10, y para Ubuntu 22.04 y 24.04.

Esta actualización corrige vulnerabilidades de seguridad. Se recomienda actualizar.

Cambios principales:

• Un host con “h3” en Protocols ahora sirve HTTP/3 con el certificado de mod_ssl resuelto para él (SSLCertificateFile y mod_md por igual), de la misma forma en que mod_http2 monta sobre mod_ssl. Se eliminan H3CertificatePath y H3CertificateKeyPath; elimínalos de las configuraciones existentes.
• Se selecciona el certificado de HTTP/3 mediante SNI, de modo que cada host virtual en un puerto compartido sirva su propio certificado en lugar del del primer host.
• Se proporciona a cada host virtual su propia configuración de mod_http3 (AP_MODULE_FLAG_ALWAYS_MERGE). Un host sin directivas H3 solía compartir la configuración del servidor principal, por lo que ajustes por host como H3AltSvc y H3AltSvcMaxAge se ignoraban en silencio y los hosts no podían llevar su propio certificado.
• Conjunto de pruebas: stop.conf ahora utiliza el mismo archivo pid que httpd.conf, por lo que “apachectl -k stop” detiene realmente el servidor en las compilaciones de httpd cuyo archivo pid predeterminado está en run/; antes, en cada reinicio del conjunto de pruebas se seguía hablando con el servidor anterior.

Vulnerabilidades corregidas:

• SECURITY: El certificado y la clave de HTTP/3 se cargan en post_config, mientras httpd sigue ejecutándose con privilegios, de modo que una clave sólo para root ya no falla en el proceso hijo sin privilegios y tanto mod_ssl como mod_http3 leen los mismos archivos.

mod_http3 v0.0.70 ha sido añadido al repositorio de CodeIT. Los paquetes se han compilado para RHEL, CentOS, AlmaLinux, Rocky Linux y Oracle Linux 7, 8, 9 y 10, y para Ubuntu 22.04 y 24.04.

Esta actualización corrige vulnerabilidades de seguridad. Se recomienda actualizar.

Cambios principales:

• Se ha anunciado una tabla dinámica QPACK, dimensionada por H3QpackTableCapacity y H3QpackBlockedStreams, para que los encabezados de las solicitudes se compriman igual que sobre HTTP/2.
• El pool de workers de las solicitudes ahora es configurable con H3MinWorkers, H3MaxWorkers y H3MaxWorkerIdleSeconds en lugar de un número fijo de 16 a 64 hilos.
• Se ha añadido H3StreamTimeout: un cliente que deja de leer ya no puede aparcar un worker de solicitudes hasta que desaparezca.
• Se ha añadido H3MaxStreamErrors: se cierra una conexión cuyo cliente sigue enviando solicitudes malformadas en lugar de responderle para siempre.
• Se ha publicado el entorno TLS de mod_ssl (SSL_PROTOCOL, SSL_CIPHER y similares) para solicitudes HTTP/3, que mod_ssl no gestiona.
• Se ha añadido H3SessionTickets, para que un operador pueda controlar si los clientes que vuelven reanudan la sesión en lugar de ejecutar un handshake completo.
• Se ha añadido H3SocketBufferSize, para que el socket QUIC ya no descarte datagramas de un búfer de recepción del sistema operativo insuficiente cuando la conexión va a toda velocidad.
• Se aplica H3IdleTimeout en el event loop del módulo, de modo que una conexión sin solicitudes se cierra en lugar de mantenerse abierta mediante pings de keepalive de QUIC.
• Se rechaza una solicitud HTTP/3 malformada con un error de stream en lugar de cerrar la conexión, para que las solicitudes en curso junto a ella sobrevivan.
• Se compila con httpd 2.4.x, además de trunk; los buckets de respuesta y el hook child_stopped ahora se eligen en tiempo de compilación.
• Se detecta el httpd stable o devel en configure y se retrotrae el graceful drain al branch 2.4.x.

Vulnerabilidades corregidas:

• SECURITY: Se ha actualizado el submodule de httpd para que mpm_event tolere una conexión que nunca aceptó, terminando con el crash del hijo al servir un ErrorDocument por HTTP/3.
• SECURITY: Se aplican LimitRequestFields y LimitRequestFieldSize a HTTP/3, para que el cliente ya no pueda hacer crecer la memoria de un stream con encabezados sin límite.