Die Apache HTTP-bediener 2.4.53 is vrygestel, wat 19 veranderinge bekendstel en 8 kwesbaarhede uitskakel:
- CVE-2022-31813 is 'n kwesbaarheid in mod_proxy wat jou toelaat om die stuur van X-Forwarded-*-opskrifte te blokkeer met inligting oor die IP-adres waarvandaan die oorspronklike versoek gekom het. Die probleem kan gebruik word om toegangsbeperkings op grond van IP-adresse te omseil.
- CVE-2022-30556 is 'n kwesbaarheid in mod_lua wat toegang tot data buite die toegewese buffer moontlik maak deur manipulasie van die r:wsread()-funksie in Lua-skrifte.
- CVE-2022-30522 – Ontkenning van diens (beskikbare geheue-uitputting) wanneer sekere data deur die mod_sed-module verwerk word.
- CVE-2022-29404 is 'n ontkenning van diens in mod_lua wat uitgebuit word deur spesiaal vervaardigde versoeke aan Lua-hanteerders te stuur deur die r:parsebody(0)-oproep te gebruik.
- CVE-2022-28615, CVE-2022-28614 – Ontkenning van diens of toegang tot data in prosesgeheue as gevolg van foute in die ap_strcmp_match() en ap_rwrite() funksies, wat lei tot 'n lees vanaf 'n area buite die buffergrens.
- CVE-2022-28330 - Inligtinglekkasie van buffergebiede buite die grense in mod_isapi (die probleem kom slegs op die Windows-platform voor).
- CVE-2022-26377 – Die mod_proxy_ajp-module is vatbaar vir HTTP-versoeksmokkelaanvalle op voorkant-agterkantstelsels, wat dit toelaat om homself in te smokkel in die inhoud van ander gebruikers se versoeke wat in dieselfde draad tussen die voorkant en agterkant verwerk word.
Die mees noemenswaardige nie-sekuriteitsveranderinge:
- mod_ssl maak SSLFIPS-modus versoenbaar met OpenSSL 3.0.
- Die ab-hulpprogram ondersteun TLSv1.3 (vereis koppeling met 'n SSL-biblioteek wat hierdie protokol ondersteun).
- In mod_md laat die MDCertificateAuthority-aanwysing meer as een CA-naam en URL toe. Nuwe voorskrifte is bygevoeg: MDRetryDelay (definieer die vertraging voordat 'n herprobeerversoek gestuur word) en MDRetryFailover (definieer die aantal herproberings in geval van mislukking voordat 'n alternatiewe sertifiseringsowerheid gekies word). Bygevoeg ondersteuning vir die "outo"-toestand wanneer waardes in die "sleutel: waarde"-formaat uitgevoer word. Voorsien die vermoë om sertifikate te bestuur vir gebruikers van die Tailscale veilige VPN-netwerk.
- Die mod_http2-module is skoongemaak van ongebruikte en onveilige kode.
- mod_proxy verseker dat die backend-netwerkpoort weerspieël word in foutboodskappe wat na die logboek geskryf is.
- In mod_heartmonitor is die waarde van die HeartbeatMaxServers-parameter van 0 na 10 verander (inisialiseer 10 gedeelde geheuegleuwe).
Bron: opennet.ru