Издаден е релиз на HTTP сървъра Apache 2.4.56, в който са представени 6 промени и са отстранени 2 уязвимости, свързани с възможността за провеждане на атаки от клас „HTTP Request Smuggling“ към фронтенд-бекенд системи, позволяващи инжектиране на съдържанието на запитвания на други потребители, обработвани в същия поток между фронтенда и бекенда. Атаката може да се използва за заобикаляне на ограниченията за достъп или за вмъкване на злонамерен JavaScript код в сесия с легитимен уебсайт.
Първата уязвимост (CVE-2023-27522) засяга модула mod_proxy_uwsgi и позволява на прокси страната да раздели отговора на две части чрез инжектиране на специални символи в HTTP заглавието, връщано от бекенда.
Втората уязвимост (CVE-2023-25690) се среща в mod_proxy и се проявява при използването на определени правила за презапис на запитвания чрез директивата RewriteRule, предоставяна от модула mod_rewrite, или определени шаблони в директивата ProxyPassMatch. Уязвимостта може да доведе до запитване през прокси на вътрешни ресурси, достъпът до които е забранен през прокси, или до замърсяване на кеш съдържанието. За проявление на уязвимостта е необходимо в правилата за презапис да се използват данни от URL, които след това да се вмъкват в изпратеното запитване. Например: RewriteEngine on RewriteRule "^\/here\/(.*)" » http:\/\/example.com:8080\/elsewhere?$1″ http:\/\/example.com:8080\/elsewhere ; [P] ProxyPassReverse \/here\/ http:\/\/example.com:8080\/ http:\/\/example.com:8080\/
Среди промените, несвързани с безопасността:
- В утилитата rotatelogs е добавен флаг „-T“, който позволява при ротация на логовете да се извършва отрязване на последващи лог файлове без отрязване на началния лог файл.
- В mod_ldap е разрешено указването на отрицателни стойности в директивата LDAPConnectionPoolTTL за настройка на повторното използване на стари връзки.
- В модула mod_md, който се използва за автоматизиране на получаването и поддържането на сертификати с помощта на протокола ACME (Automatic Certificate Management Environment), при компилиране с libressl 3.5.0+ е включена поддръжка на схемата за цифров подпис ED25519 и отчитане на информация за публичния лог на сертификатите (CT, Certificate Transparency). В директивата MDChallengeDns01 е разрешено определянето на настройки за отделни домейни.
- В mod_proxy_uwsgi е засилена проверката и анализа на отговора от HTTP бекендовете.
Източник: opennet.ru
