Публикувано е издание на HTTP-сървъра Apache 2.4.53, в което са представени 14 промени и са отстранени 4 уязвимости:
- CVE-2022-22720 — възможност за извършване на атака „HTTP Request Smuggling“, която позволява чрез изпращане на специално форматирани клиентски заявки да се намесва в съдържанието на заявките на други потребители, предавани чрез mod_proxy (например, може да се постигне подмяна на злонамерен JavaScript код в сесията на друг потребител на сайта). Проблемът е причинен от оставяне на отворени входящи връзки след възникване на грешки при обработката на некоректно тяло на заявката.
- CVE-2022-23943 — препълване на буфера в модула mod_sed, позволяващо презаписване на съдържанието на паметта с данни, контролирани от атакуващия.
- CVE-2022-22721 — възможност за запис извън границите на буфера поради цяло число, водещо до препълване, което възниква при предаване на тяло на заявка с размер над 350МБ. Проблемът се проявява на 32-битови системи, в настройките на които е зададена твърде голяма стойност на LimitXMLRequestBody (по подразбиране 1 МБ, за атака лимитът трябва да е над 350 МБ).
- CVE-2022-22719 — уязвимост в mod_lua, позволяваща извличане на произволни области от паметта и срив на процеса при обработката на специално форматирано тяло на заявката. Проблемът е причинен от използването на неинициализирани стойности в кода на функцията r:parsebody.
Наиболее заметные изменения, не связанные с безопасностью:
- В mod_proxy е увеличен лимита на броя символи в името на обработвача (worker). Добавена е възможност за селективна настройка на таймаутите за backend и frontend (например, свързано с worker). За заявки, предавани чрез websockets или метода CONNECT, времето за таймаут е променено на максималната стойност, зададена за backend и frontend.
- Обработката на отворенето на DBM файлове и зареждането на DBM драйвера е разделена. В случай на грешка в лога сега се показват по-подробни сведения за грешката и драйвера.
- В mod_md е преустановена обработката на заявки за \/.well-known\/acme-challenge\/, ако в настройките домейн не е явно включена употребата на типа проверка ‘http-01.
- В mod_dav е отстранено регресивно изменение, водещо до голямо потребление на паметта при обработката на голям брой ресурси.
- Добавена е възможност за използване на библиотеката pcre2 (10.x) вместо pcre (8.x) за обработка на регулярни изрази.
- Добавена е поддръжка за анализ на аномалии в заявките за протокола LDAP, за правилно екраниране на данни при опити за извършване на атаки чрез инжекции на LDAP конструкции.
- В mpm_event е отстранена взаимната блокировка, която възниква при повторно стартиране или при надвишаване на лимита MaxConnectionsPerChild в високо натоварени системи.
Източник: opennet.ru
