httpd:2.4 security, bug fix, and enhancement update

以下項目について対処しました。

[Security Fix]
- Apache HTTP サーバー には、プレーンなリソースに slow loris 攻撃
の手法でリクエストのボディーを送ることによって h2 ストリームが
サーバースレッドを不必要に占有し、受信データを削除してしまう脆弱性が
あります。(CVE-2018-17189)

- Apache HTTP サーバーには、ファジングされたネットワーク入力を使用すると、
http/2 リクエストの処理が文字列比較で開放されたメモリへアクセスし、リクエストが
不正に処理される可能性のある脆弱性があります。(CVE-2019-0196)

- Apache HTTP サーバーには、http ホストでHTTP/2 が有効な場合、あるいは
https ホストの h2 の H2Upgrade が有効な場合、接続上初めてのリクエストではない
http/1.1 から http/2 アップグレードリクエストがあると、設定ミスや、クラッシュを
引き起こす可能性がある脆弱性があります。(CVE-2019-0197)

- Apache HTTP サーバーの非常に初期のプッシュには、例えば "H2PushResource"
で構成されている場合、プッシュリクエストのプール上のメモリが上書きされ、クラッシュを
引き起こす可能性のある脆弱性があります。(CVE-2019-10081)

- Apache HTTP サーバーには、ファジングされたネットワーク入力を使用すると、
シャットダウンに接続する間、http/2 セッションの処理で開放された後のメモリの
読み込みを行う脆弱性があります。(CVE-2019-10082)

- Apache HTTP サーバーには、プロキシエラーページが表示されるような誤った
プロキシサーバーの設定を行っている場合、攻撃者がエラーページ上のリンクの形式を
細工し、代わりに任意のページを挿入する制限されたクロスサイトスクリプティングの
脆弱性があります。(CVE-2019-10092)

- Apache HTTP サーバーには、trusted proxy を利用するために "PROXY"
プロトコルを用いて mod_remoteip が設定されている場合、巧妙に細工された
プロキシのヘッダがスタックバッファーオーバーフローやヌルポインターデリファレンスを
引き起こす脆弱性があります。(CVE-2019-10097)

- Apache HTTP サーバーには、mod_rewirteモジュールでの自己参照を意図した
リダイレクト設定が、リクエストURLにエンコードされた改行文字を含めることで騙され、
リクエストURLに含まれるURLへリダイレクトしてしまうオープンリダイレクトの
脆弱性があります。(CVE-2020-10098, CVE-2020-1927)

- Apache HTTP サーバーには、悪意のあるFTPサーバーへのプロキシとして動作する際、
mod_proxy_ftpモジュールが初期化されていないメモリを利用してしまう
脆弱性があります。(CVE-2020-1934)