Die Apache HTTP-bediener 2.4.53 is vrygestel, wat 14 veranderinge bekendstel en 4 kwesbaarhede uitskakel:
- CVE-2022-22720 - die moontlikheid om 'n "HTTP Request Smuggling"-aanval uit te voer, wat dit moontlik maak om, deur spesiaal ontwerpte kliëntversoeke te stuur, in te wig in die inhoud van versoeke van ander gebruikers wat deur mod_proxy versend is (jy kan byvoorbeeld die invoeging van kwaadwillige JavaScript-kode in die sessie van 'n ander gebruiker van die webwerf). Die probleem word veroorsaak deur inkomende verbindings oop te laat nadat foute voorkom tydens die verwerking van 'n ongeldige versoekliggaam.
- CVE-2022-23943 'n Bufferoorloop in die mod_sed-module laat toe dat die inhoud van hoopgeheue met aanvaller-beheerde data oorskryf word.
- CVE-2022-22721 Daar is 'n moontlike skryf buite die grense as gevolg van 'n heelgetal-oorloop wat plaasvind wanneer 'n versoekliggaam groter as 350 MB deurgegee word. Die probleem verskyn op 32-bis-stelsels in die instellings waarvan die LimitXMLRequestBody-waarde te hoog gestel is (by verstek 1 MB, vir 'n aanval moet die limiet hoër as 350 MB wees).
- CVE-2022-22719 is 'n kwesbaarheid in mod_lua wat ewekansige geheuelesings en 'n prosesongeluk toelaat wanneer 'n spesiaal vervaardigde versoekliggaam verwerk word. Die probleem word veroorsaak deur die gebruik van ongeïnitialiseerde waardes in die r:parsebody-funksiekode.
Die mees noemenswaardige nie-sekuriteitsveranderinge:
- In mod_proxy is die limiet op die aantal karakters in die naam van die werker (werker) verhoog. Bygevoeg die vermoë om selektief time-outs vir die backend en frontend op te stel (byvoorbeeld in verband met 'n werker). Vir versoeke wat via websockets of die CONNECT-metode gestuur word, is die uitteltyd verander na die maksimum waarde wat vir die agterkant en voorkant gestel is.
- Die verwerking van die oopmaak van DBM-lêers en die laai van die DBM-bestuurder is geskei. In die geval van 'n mislukking, vertoon die log nou meer gedetailleerde inligting oor die fout en die bestuurder.
- mod_md het opgehou om versoeke na /.well-known/acme-challenge/ te verwerk tensy die domeininstellings uitdruklik die gebruik van die 'http-01'-verifikasietipe geaktiveer het.
- Mod_dav het 'n regressie reggestel wat hoë geheueverbruik veroorsaak het tydens die hantering van groot getalle hulpbronne.
- Bygevoeg die vermoë om die pcre2 (10.x) biblioteek te gebruik in plaas van pcre (8.x) vir die verwerking van gereelde uitdrukkings.
- Ondersteuning vir anomalie-analise vir die LDAP-protokol is bygevoeg om filters te versoek om data korrek te skerm wanneer daar gepoog word om LDAP-vervangingsaanvalle uit te voer.
- In mpm_event is 'n dooiepunt wat voorkom wanneer die MaxConnectionsPerChild-limiet op swaar gelaaide stelsels herbegin of oorskry word, uitgeskakel.
Bron: opennet.ru