تم نشر إصدار خادم Apache HTTP 2.4.56، والذي يقدم 6 تغييرات ويزيل اثنتين من نقاط الضعف المرتبطة بإمكانية تنفيذ هجمات "HTTP Request Smuggling" على أنظمة الواجهة الأمامية والخلفية، مما يسمح بالتدخل في تتم معالجة محتويات طلبات المستخدمين الآخرين في نفس الموضوع بين الواجهة الأمامية والخلفية. يمكن استخدام الهجوم لتجاوز أنظمة تقييد الوصول أو إدخال تعليمات برمجية JavaScript ضارة في جلسة مع موقع ويب شرعي.
تؤثر الثغرة الأمنية الأولى (CVE-2023-27522) على وحدة mod_proxy_uwsgi وتسمح بتقسيم الاستجابة إلى جزأين على جانب الوكيل من خلال استبدال الأحرف الخاصة في رأس HTTP الذي يتم إرجاعه بواسطة الواجهة الخلفية.
الثغرة الثانية (CVE-2023-25690) موجودة في mod_proxy وتحدث عند استخدام قواعد معينة لإعادة كتابة الطلب باستخدام توجيه RewriteRule المقدم من وحدة mod_rewrite، أو أنماط معينة في توجيه ProxyPassMatch. يمكن أن تؤدي الثغرة الأمنية إلى طلب الموارد الداخلية من خلال وكيل، حيث يُحظر الوصول إليها من خلال وكيل، أو إلى إتلاف محتويات ذاكرة التخزين المؤقت. لكي تظهر الثغرة الأمنية، من الضروري أن تستخدم قواعد إعادة كتابة الطلب البيانات من عنوان URL، والتي يتم استبدالها بعد ذلك في الطلب الذي يتم إرساله لاحقًا. على سبيل المثال: RewriteEngine على RewriteRule “^/here/(.*)” » http://example.com:8080/elsewhere?$1″ http://example.com:8080/elsewhere ; [ف] ProxyPassReverse /هنا/ http://example.com:8080/ http://example.com:8080/
ومن بين التغييرات غير الأمنية:
- تمت إضافة العلامة "-T" إلى الأداة المساعدةRotatelogs، والتي تسمح، عند تدوير السجلات، باقتطاع ملفات السجل اللاحقة دون اقتطاع ملف السجل الأولي.
- يسمح mod_ldap بالقيم السالبة في توجيه LDAPConnectionPoolTTL لتكوين إعادة استخدام أي اتصالات قديمة.
- تتضمن الوحدة mod_md، المستخدمة لأتمتة استلام الشهادات وصيانتها باستخدام بروتوكول ACME (بيئة إدارة الشهادات التلقائية)، عند تجميعها باستخدام libressl 3.5.0+، دعمًا لنظام التوقيع الرقمي ED25519 ومحاسبة معلومات سجل الشهادات العامة (CT) ، شهادة الشفافية). يسمح التوجيه MDChallengeDns01 بتعريف الإعدادات للمجالات الفردية.
- قام mod_proxy_uwsgi بتشديد فحص وتحليل الاستجابات من واجهات HTTP الخلفية.
المصدر: opennet.ru