You are viewing a plain text version of this content. The canonical link for it is here.
Posted to cvs@httpd.apache.org by ke...@apache.org on 2004/05/12 22:02:08 UTC
cvs commit: httpd-dist Announcement.txt.es Announcement.html.de Announcement.txt.de Announcement.txt.ja
kess 2004/05/12 13:02:08
Modified: . Announcement.html.de Announcement.txt.de
Announcement.txt.ja
Added: . Announcement.txt.es
Log:
bring announcement translations up to date:
new Spanish translation
updated Japanese tranlation (txt only)
updated German translation
Revision Changes Path
1.4 +35 -13 httpd-dist/Announcement.html.de
Index: Announcement.html.de
===================================================================
RCS file: /home/cvs/httpd-dist/Announcement.html.de,v
retrieving revision 1.3
retrieving revision 1.4
diff -u -r1.3 -r1.4
--- Announcement.html.de 11 May 2004 12:32:21 -0000 1.3
+++ Announcement.html.de 12 May 2004 20:02:08 -0000 1.4
@@ -15,23 +15,38 @@
<IMG SRC="../../images/apache_sub.gif" ALT="">
-<h1>Apache HTTP Server 1.3.30 freigegeben</h1>
+<h1>Apache HTTP Server 1.3.31 freigegeben</h1>
<p>Wir, die Apache Software Foundation und das Apache HTTP Server Projekt,
- freuen uns, die Freigabe der Version 1.3.30 des Apache HTTP Servers
+ freuen uns, die Freigabe der Version 1.3.31 des Apache HTTP Servers
("Apache") bekannt zu geben. Diese Ankündigung führt die
- wesentlichen Änderungen von 1.3.30 gegenüber 1.3.9 auf. Die
- Ankündigung ist auch in englischer Sprache unter <a
- href="http://www.apache.org/dist/httpd/Announcement.html"
- >http://www.apache.org/dist/httpd/Announcement.html</a> verfügbar.</p>
+ wesentlichen Änderungen von 1.3.31 gegenüber 1.3.29 auf (die
+ Version 1.3.30 wurde nicht freigegeben). Die Ankündigung ist auch
+ in englischer Sprache sowie spanischer und japanischer Übersetzung
+ unter</p>
+<dl>
+ <dd><a href="http://www.apache.org/dist/httpd/Announcement.html"
+ >http://www.apache.org/dist/httpd/Announcement.html</a></dd>
+ <dd><a href="http://www.apache.org/dist/httpd/Announcement.txt.es"
+ >http://www.apache.org/dist/httpd/Announcement.txt.es</a></dd>
+ <dd><a href="http://www.apache.org/dist/httpd/Announcement.txt.ja"
+ >http://www.apache.org/dist/httpd/Announcement.txt.ja</a></dd>
+</dl>
+<p>verfügbar.</p>
<p>Diese Version des Apache ist vornehmlich ein Bug-Fix- und Sicherheits-
Update. Eine kurze Zusammenfassung der Bug-Fixes ist am Ende des Dokumentes
aufgeführt. Die vollständige Liste der Änderungen ist in der
- CHANGES-Datei zu finden. Apache 1.3.30 behebt insbesondere 3 mögliche
+ CHANGES-Datei zu finden. Apache 1.3.31 behebt insbesondere 4 mögliche
Sicherheitslücken.</p>
<ul>
+<li><a href="http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2003-0987"
+ >CAN-2003-0987 (cve.mitre.org)</a>:
+ In mod_digest wird der vom Client verwendete "Nonce"-Wert nun
+ verifiziert, ob er mit dem vom Server erzeugten korrespondiert.
+ Dieses Problem betrifft nicht das mod_auth_digest-Modul.</li>
+
<li><a href="http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2003-0020"
>CAN-2003-0020 (cve.mitre.org)</a>:
Daten beliebiger Herkunft werden maskiert, bevor sie ins
@@ -43,7 +58,9 @@
kurzlebige Verbindung an einem selten verbundenen, lauschenden Socket
einen Kindprozess veranlaßt, den Accept-Mutex festzuhalten und
neue Verbindungen solange zu blockieren, bis eine weitere Verbindung
- auf dem selten verbundenen Socket eintrifft.</li>
+ auf dem selten verbundenen Socket eintrifft. Dieses Problem betrifft
+ nur bestimmte Plattformen, wie Solaris, AIX und IRIX. Linux ist nicht
+ betroffen.</li>
<li><a href="http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2003-0993"
>CAN-2003-0993 (cve.mitre.org)</a>:
@@ -52,18 +69,17 @@
Big-Endian-64-bit-Plattformen bekannt.</li>
</ul>
-<p>Wir betrachten den Apache 1.3.30 als die beste verfügbare Version des
+<p>Wir betrachten den Apache 1.3.31 als die beste verfügbare Version des
Apache 1.3 und wir empfehlen Benutzern älterer Versionen, insbesondere
der Familien 1.1.x und 1.2.x, umgehend die Aufrüstung. Für die
1.2.x-Familie werden keine weiteren Releases mehr erstellt.</p>
-<p>Apache 1.3.30 steht unter folgender Adresse zum Download bereit:</p>
+<p>Apache 1.3.31 steht unter folgender Adresse zum Download bereit:</p>
<dl>
<dd><a href="http://httpd.apache.org/download.cgi"
>http://httpd.apache.org/download.cgi</a></dd>
</dl>
-
<p>Dieser Service nutzt das Mirror-Netzwerk, welches unter folgender Adresse
aufgeführt wird:</p>
<dl>
@@ -118,7 +134,7 @@
Universums. Mehr als die Hälfte aller Server im Internet laufen mit dem
Apache oder einem seiner Derivate.</p>
-<h2>Wesentliche Änderungen des Apache 1.3.30</h2>
+<h2>Wesentliche Änderungen des Apache 1.3.31</h2>
<h3>Sicherheitslücken</h3>
<p>
@@ -126,6 +142,12 @@
wurden, sind:
</p>
<ul>
+<li><a href="http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2003-0987"
+ >CAN-2003-0987 (cve.mitre.org)</a>:
+ In mod_digest wird der vom Client verwendete "Nonce"-Wert nun
+ verifiziert, ob er mit dem vom Server erzeugten korrespondiert.
+ Dieses Problem betrifft nicht das mod_auth_digest-Modul.</li>
+
<li><a href="http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2003-0020"
>CAN-2003-0020 (cve.mitre.org)</a>:
Daten beliebiger Herkunft werden maskiert, bevor sie ins
@@ -147,7 +169,7 @@
</ul>
<h3>Neuerungen</h3>
-<p>Neue Features, die sich auf bestimmte Plattformen beziehen:</p>
+<p>Neue Funktionen, die sich auf bestimmte Plattformen beziehen:</p>
<ul>
<li>Linux 2.4+: Wenn der Apache als root startet und CoreDumpDirectory
1.4 +95 -42 httpd-dist/Announcement.txt.de
Index: Announcement.txt.de
===================================================================
RCS file: /home/cvs/httpd-dist/Announcement.txt.de,v
retrieving revision 1.3
retrieving revision 1.4
diff -u -r1.3 -r1.4
--- Announcement.txt.de 28 Oct 2003 13:29:38 -0000 1.3
+++ Announcement.txt.de 12 May 2004 20:02:08 -0000 1.4
@@ -1,29 +1,54 @@
- Apache HTTP Server 1.3.29 freigegeben
+ Apache HTTP Server 1.3.31 freigegeben
Wir, die Apache Software Foundation und das Apache HTTP Server Projekt,
- freuen uns, die Freigabe der Version 1.3.29 des Apache HTTP Servers
+ freuen uns, die Freigabe der Version 1.3.31 des Apache HTTP Servers
("Apache") bekannt zu geben. Diese Ank�ndigung f�hrt die wesentlichen
- �nderungen von 1.3.29 gegen�ber 1.3.28 auf. Die Ank�ndigung ist auch in
- englischer Sprache unter http://www.apache.org/dist/httpd/Announcement.txt
+ �nderungen von 1.3.31 gegen�ber 1.3.29 auf (die Version 1.3.30 wurde nicht
+ freigegeben). Die Ank�ndigung ist auch in englischer Sprache sowie
+ spanischer und japanischer �bersetzung unter
+
+ http://www.apache.org/dist/httpd/Announcement.txt
+ http://www.apache.org/dist/httpd/Announcement.txt.es
+ http://www.apache.org/dist/httpd/Announcement.txt.ja
+
verf�gbar.
Diese Version des Apache ist vornehmlich ein Bug-Fix- und Sicherheits-
Update. Eine kurze Zusammenfassung der Bug-Fixes ist am Ende des Dokumentes
aufgef�hrt. Die vollst�ndige Liste der �nderungen ist in der CHANGES-
- Datei zu finden. Apache 1.3.29 behebt insbesondere 1 Sicherheitsl�cke.
-
- o CAN-2003-0542 (cve.mitre.org)
- Behebung von Puffer�berl�ufen in mod_alias und mod_rewrite, welche
- auftraten, falls regul�re Ausdr�cke mit mehr als 9 speichernden
- Klammernpaaren angewendet wurden.
+ Datei zu finden. Apache 1.3.31 behebt insbesondere 4 m�gliche
+ Sicherheitsl�cken:
- Wir betrachten den Apache 1.3.29 als die beste verf�gbare Version des
+ o CAN-2003-0987 (cve.mitre.org)
+ In mod_digest wird der vom Client verwendete "Nonce"-Wert nun
+ verifiziert, ob er mit dem vom Server erzeugten korrespondiert.
+ Dieses Problem betrifft nicht das mod_auth_digest-Modul.
+
+ o CAN-2003-0020 (cve.mitre.org)
+ Daten beliebiger Herkunft werden maskiert, bevor sie ins
+ Fehlerprotokoll geschrieben werden.
+
+ o CAN-2004-0174 (cve.mitre.org)
+ Korrektur von "verhungernden" lauschenden Sockets, wo eine
+ kurzlebige Verbindung an einem selten verbundenen, lauschenden Socket
+ einen Kindprozess veranlasst, den Accept-Mutex nicht freizugeben und
+ neue Verbindungen solange zu blockieren, bis eine weitere Verbindung
+ auf dem selten verbundenen Socket eintrifft. Dieses Problem betrifft
+ nur bestimmte Plattformen, wie Solaris, AIX und IRIX. Linux ist nicht
+ betroffen.
+
+ o CAN-2003-0993 (cve.mitre.org)
+ Korrektur des Parsers f�r Allow-/Deny-Regeln, die IP-Adressen ohne
+ Angabe einer Netmask verwenden. Das Problem ist lediglich auf
+ Big-Endian-64-bit-Plattformen bekannt.
+
+ Wir betrachten den Apache 1.3.31 als die beste verf�gbare Version des
Apache 1.3 und wir empfehlen Benutzern �lterer Versionen, insbesondere
der Familien 1.1.x und 1.2.x, umgehend die Aufr�stung. F�r die 1.2.x-
Familie werden keine weiteren Releases mehr erstellt.
- Apache 1.3.29 steht unter folgender Adresse zum Download bereit:
+ Apache 1.3.31 steht unter folgender Adresse zum Download bereit:
http://httpd.apache.org/download.cgi
@@ -76,40 +101,68 @@
besseren Performance, Stabilit�t und Sicherheit auf den Apache 2.0 zu
wechseln.
- Wesentliche �nderungen des Apache 1.3.29
+ Wesentliche �nderungen des Apache 1.3.31
Sicherheitsl�cken
- o CAN-2003-0542 (cve.mitre.org)
- Behebung von Puffer�berl�ufen in mod_alias und mod_rewrite, welche
- auftraten, falls regul�re Ausdr�cke mit mehr als 9 speichernden
- Klammernpaaren angewendet wurden.
-
- Neue Features
-
- Neue Features, die sich auf bestimmte Plattformen beziehen:
-
- * Die ident-Funktionalit�t gem�� RFC1413 ist nun sowohl f�r
- Windows- wie auch f�r NetWare-Plattformen verf�gbar. Dies
- beinhaltet auch eine alternative Thread-sichere Implementation der
- Socket-Timeout-Funktionalit�t bei der Abfrage des identd-Daemons.
-
+ o CAN-2003-0987 (cve.mitre.org)
+ Im mod_digest wird der vom Client verwendete "Nonce"-Wert nun
+ verifiziert, ob er mit dem vom Server erzeugten korrespondiert.
+ Dieses Problem betrifft nicht das mod_auth_digest-Modul.
+
+ o CAN-2003-0020 (cve.mitre.org)
+ Daten beliebiger Herkunft werden maskiert, bevor sie ins
+ Fehlerprotokoll geschrieben werden.
+
+ o CAN-2004-0174 (cve.mitre.org)
+ Korrektur von "verhungernden" lauschenden Sockets, wo eine
+ kurzlebige Verbindung an einem selten verbundenen, lauschenden Socket
+ einen Kindprozess veranla�t, den Accept-Mutex festzuhalten und neue
+ Verbindungen solange zu blockieren, bis eine weitere Verbindung auf
+ auf dem selten verbundenen Socket eintrifft.
+
+ o CAN-2003-0993 (cve.mitre.org)
+ Korrektur des Parsers f�r Allow-/Deny-Regeln, die IP-Adressen ohne
+ Angabe einer Netmask verwenden. Das Problem ist lediglich auf
+ Big-Endian-64-bit-Plattformen bekannt.
+
+Neuerungen
+
+ Neue Funktionen, die sich auf bestimmte Plattformen beziehen:
+
+ * Linux 2.4+: Wenn der Apache als root startet und CoreDumpDirectory
+ gesetzt ist, sind Speicherausz�ge mittels des Systemaufrufes
+ prctl() aktiviert.
+
+ Neue Funktionen f�r alle Plattformen:
+
+ * neue Zusatzmodule: mod_whatkilledus und mod_backtrace (experimentell)
+ zur Auswertung von Diagnosedaten nach dem Absturz eines Kindprozesses.
+
+ * Hinzuf�gen eines Hooks f�r schwere Ausnahmefehler zur Verwendung von
+ Diagnosemodulen nach einem Absturz.
+
+ * Neues Modul zur forensischen Protokollierung (mod_log_forensic)
+
+ * '%X' wird von der Direktive LogFormat jetzt als Alias f�r '%c'
+ akzeptiert. Das erm�glicht nun auch mit mod_ssl die Protokollierung des
+ Verbindungsstatus.
+
Behobene Fehler
- Die folgenden nennenswerten Fehler wurden im Apache 1.3.28 (oder
- fr�her) gefunden und im Apache 1.3.29 behoben:
+ Die folgenden nennenswerten Fehler wurden im Apache 1.3.29 (oder
+ fr�her) gefunden und im Apache 1.3.31 behoben:
+
+ * Korrektur von Speicherkorruptionen bei der Funktion
+ ap_custom_response(). Die per-dir-Grunkonfiguration w�rde sp�ter auf
+ Daten des Request-Pools zeigen, die f�r verschiedene Zwecke bei
+ verschiedenen Anfragen wieder benutzt w�rden.
+
+ * mod_usertrack �berpr�ft nicht l�nger den Cookie2-Header auf den
+ Cookienamen. Es �berschreibt auch keine anderen Cookies mehr.
+
+ * Korrektur eines Fehlers, der einen Speicherauszug verursachte, wenn
+ CookieTracking ohne direkte Angabe eines Cookienamens verwendet wurde.
- * Innerhalb von ap_bclose() wird nun durchweg ap_pclosesocket() f�r
- Sockets und sp_pclosef() f�r Dateien aufgerufen. Ebenso wird nun
- einheitlich closesocket() zum Schlie�en der (Dateideskriptoren von)
- Sockets verwendet. Das vorherige Durcheinander von Dateideskriptoren
- f�r Sockets und Dateien w�rde bei einigen Applikationen Probleme
- verursachen, jetzt wo wir vorsorglich Dateideskriptoren schlie�en,
- um Lecks zu vermeiden. PR 22805.
-
- * Korrektur von mod_usertrack, um keine f�lschlich zutreffenden
- �bereinstimmungen mit dem Namen des user-tracking-Cookies zu
- erhalten. PR 16661.
+ * UseCanonicalName off hatte den vom Client �bermittelten Port ignoriert.
- * Die Bildung von Subprozess-Zombies bei der Verwendung von CGI-Wrappern
- wie suEXEC und cgiwrap wird verhindert. PR 21737.
1.2 +21 -10 httpd-dist/Announcement.txt.ja
<<Binary file>>
1.1 httpd-dist/Announcement.txt.es
Index: Announcement.txt.es
===================================================================
Liberado el Servidor de HTTP Apache 1.3.31
La Fundaci�n de Software Apache y el Proyecto de Servidor HTTP Apache se
complacen en anunciar el lanzamiento de la versi�n 1.3.31 del Servidor HTTP
Apache ("Apache"). Este comunicado recoge los cambios m�s significativos que
se han introducido en la versi�n 1.3.31 con respecto a la versi�n 1.3.29
(1.3.30 no lleg� a ser liberado). Este comunicado est� tambi�n disponible en
Ingl�s, Alem�n y Japon�s, en los siguientes enlaces:
http://www.apache.org/dist/httpd/Announcement.html
http://www.apache.org/dist/httpd/Announcement.html.de
http://www.apache.org/dist/httpd/Announcement.html.ja
La nueva version soluciona principalmente problemas de seguridad y errores
de programaci�n (bugs). Al final de este documento puede encontrar un
resumen parcial de los problemas corregidos. En el fichero CHANGES est� la
lista completa de los cambios introducidos. De especial relevancia son los
cuatro problemas potenciales de seguridad que se han resuelto en la version
1.3.31:
* CAN-2003-0987 (cve.mitre.org)
En mod_digest, verificar que el 'nonce' devuelto por el cliente es
uno que el servidor envi� previamente. El problema no afecta a
mod_auth_digest.
* CAN-2003-0020 (cve.mitre.org)
Filtrado de datos arbitrarios antes de escribir en el registro de
errores (errorlog).
* CAN-2004-0174 (cve.mitre.org)
Soluciona el problema de muerte por inanici�n en sockets de
escucha, en el que una conexi�n de vida corta a un socket de
escucha raramente accedido provocar� que un hijo mantenga aceptado
el mutex y bloquee las nuevas conexiones hasta que otra conexi�n
llegue a ese socket de escucha raramente accedido. Este problema
solo afecta a algunas plataformas como Solaris, AIX e IRIX. Linux
no se ve afectado.
* CAN-2003-0993 (cve.mitre.org)
Soluciona el problema que surge al analizar las reglas de las
directivas Allow/Deny usando direcciones IP sin una m�scara de
red; este problema actualmente solo se conoce que afecte a la
plataformas de 64 bits big-endian
Consideramos que Apache 1.3.31 es la mejor versi�n disponible de Apache 1.3
y recomendamos firmemente a los usuarios de versiones anteriores,
especialmente los de las versiones 1.1.x y 1.2.x, que se actualicen lo antes
posible. No se har�n nuevas versiones de la familia 1.2.x.
Apache 1.3.31 puede descargarse desde el siguiente enlace:
http://httpd.apache.org/download.cgi
Este servicio usa una red de mirrors cuya lista puede consultarse en:
http://www.apache.org/mirrors/
Por favor, consulte el fichero CHANGES_1.3 para ver la lista completa de
cambios introducidos en la nueva versi�n.
Como todas las distribuciones binarias de Apache posteriores a la 1.3.12, la
nueva versi�n contiene todos los m�dulos est�ndar de Apache como objetos
compartidos (si son soportados por la plataforma) e incluye todo el c�digo
fuente. La instalaci�n se hace f�cilmente ejecutando el script de
instalaci�n incluido. Si quiere informacion detallada, consulte los ficheros
README.bindist y INSTALL.bindist. Tenga en cuenta que las distribuciones
binarias se suministran para su propia conveniencia y que no siempre
incluyen las �ltimas actualizaciones en todas las plataformas. Las
distribuciones binarias para Win32 est�n basadas en la tecnolog�a del
Instalador Microsoft (MSI). Mientras que continua el desarrollo para hacer
el m�todo de instalaci�n mas robusto, las preguntas sobre el tema deben
dirigirse al grupo de news news:comp.infosystems.www.servers.ms-windows
Para tener una visi�n general de las nuevas caracter�sticas introducidas con
posterioridad a la version 1.2 de Apache, consulte el siguiente enlace:
http://httpd.apache.org/docs/new_features_1_3.html
En general, Apache 1.3 ofrece diversas mejoras sustanciales sobre la versi�n
1.2, incluido un mejor rendimiento, una mayor fiabilidad y un mayor rango de
plataformas soportadas, incluidas Windows NT y 2000 (que entran en la
categoria "Win32"), OS2, Netware, y plataformas TPF threaded.
Apache es el servidor web mas popular en el universo conocido; m�s de la
mitad de los servidores de Internet usan Apache o alguna de sus variantes.
AVISO IMPORTANTE PARA LOS USUARIOS DE APACHE: Apache 1.3 ha sido dise�ado
para sistemas operativos Unix y sus variantes. Aunque las versiones para
plataformas no Unix (tales como Win32, Netware u OS2) son de una calidad
aceptable, Apache 1.3 no est� optimizado para esas plataformas. Los
problemas de seguridad, estabilidad o rendimiento presentes en esas
versiones no Unix, no afectan generalmente a las versiones para Unix.
Apache 2.0 se ha estructurado para m�ltiples sistemas operativos desde el
principio, introduciendo la Librer�a de Portabilidad de Apache y los modulos
MPM. Se recomienda firmemente a los ususarios de plataformas no Unix que
pasen a usar Apache 2.0 para mejorar el rendimiento, la estabilidad y la
seguridad en sus plataformas.
Principales cambios introducidos en Apache 1.3.31
Problemas de seguridad
* CAN-2003-0987 (cve.mitre.org)
En mod_digest, verificar que el 'nonce' devuelto por el cliente es
uno que el servidor envi� previamente. El problema no afecta a
mod_auth_digest.
* CAN-2003-0020 (cve.mitre.org)
Filtrado de datos arbitrarios antes de escribir en el registro de
errores (errorlog).
* CAN-2004-0174 (cve.mitre.org)
Soluciona el problema de muerte por inanici�n en sockets de
escucha, en el que una conexi�n de vida corta a un socket de
escucha raramente accedido provocar� que un hijo mantenga aceptado
el mutex y bloquee las nuevas conexiones hasta que otra conexi�n
llegue a ese socket de escucha raramente accedido. Este problema
solo afecta a algunas plataformas como Solaris, AIX e IRIX. Linux
no se ve afectado.
* CAN-2003-0993 (cve.mitre.org)
Soluciona el problema que surge al analizar las reglas de las
directivas Allow/Deny usando direcciones IP sin una m�scara de
red; este problema actualmente solo se conoce que afecte a la
plataformas de 64 bits big-endian
Nueva funcionalidad
Nueva funcionalidad espec�fica para una plataforma:
* Linux 2.4+: Si se arranca Apache como usuario root y ejecuta el
comando CoreDumpDirectory, los coredumps se activan via prctl()
Nueva funcionalidad para todas las plataformas:
* Se a�aden los modulos mod_whatkilledus y mod_backtrace (de forma
experimental) para reportar la informaci�n de diagn�stico
despues de que una proceso hijo termine de forma inesperada.
* Se a�ade un hook de excepci�n irrecuperable para ejecutar el
c�digo de diagn�stico despu�s de un error irrecuperable.
* Se ha a�adido un m�dulo de registro for�nsico (mod_log_forensic)
* '%X' es aceptado a partir de ahora como alias para '%c' en la
directiva LogFormat. Esto le permite configurar el logging para
almacenar el estado de la conexi�n, incluso con mod_ssl
Errores de programaci�n solucionados
Estos son los errores de programaci�n de relevancia que fueron
encontrados en la version de Apache 1.3.29 (o anteriores) y que han
sido corregidos en Apache 1.3.31:
* Solucionado el problema de corrupci�n de memoria con la funci�n
ap_custom_response(). La configuraci�n principal per-dir config
referenciaba posteriormente a los datos comunes de la petici�n que
ser�an reusados para diferentes prop�sitos en sucesivas peticiones.
* El m�dulo mod_usertrack no inspecciona a partir de ahora la cabecera
Cookie2 para encontrar el nombre de la cookie. A partir de ahora
tampoco sobreescribe otras cookies.
* Solucionado el problema causado por volcado de memoria (core dump)
cuando se usa CookieTracking sin especificar un CookieName
directamente.
* UseCanonicalName off ignoraba la informaci�n sobre el puerto
proporcionada por el cliente.