Apache 2.4.56 HTTP সার্ভার রিলিজ দুর্বলতার সাথে সংশোধন করা হয়েছে

Apache HTTP সার্ভার 2.4.56-এর রিলিজ প্রকাশ করা হয়েছে, যা 6টি পরিবর্তন প্রবর্তন করে এবং সামনে-এন্ড-ব্যাক-এন্ড সিস্টেমে "HTTP অনুরোধ চোরাচালান" আক্রমণ চালানোর সম্ভাবনার সাথে যুক্ত 2টি দুর্বলতা দূর করে, যা ওয়েজ করার অনুমতি দেয়। অন্যান্য ব্যবহারকারীর অনুরোধের বিষয়বস্তু ফ্রন্টএন্ড এবং ব্যাকএন্ডের মধ্যে একই থ্রেডে প্রক্রিয়া করা হয়। আক্রমণটি অ্যাক্সেস সীমাবদ্ধতা সিস্টেমকে বাইপাস করতে বা বৈধ ওয়েবসাইটের সাথে একটি সেশনে দূষিত জাভাস্ক্রিপ্ট কোড সন্নিবেশ করতে ব্যবহার করা যেতে পারে।

প্রথম দুর্বলতা (CVE-2023-27522) mod_proxy_uwsgi মডিউলকে প্রভাবিত করে এবং ব্যাকএন্ড দ্বারা প্রত্যাবর্তিত HTTP হেডারে বিশেষ অক্ষরের প্রতিস্থাপনের মাধ্যমে প্রতিক্রিয়াটিকে প্রক্সি দিকে দুটি অংশে বিভক্ত করার অনুমতি দেয়।

দ্বিতীয় দুর্বলতা (CVE-2023-25690) mod_proxy-এ উপস্থিত থাকে এবং mod_rewrite মডিউল দ্বারা প্রদত্ত RewriteRule নির্দেশিকা বা ProxyPassMatch নির্দেশে নির্দিষ্ট প্যাটার্ন ব্যবহার করে কিছু অনুরোধ পুনর্লিখনের নিয়ম ব্যবহার করার সময় ঘটে। দুর্বলতা অভ্যন্তরীণ সংস্থানগুলির জন্য একটি প্রক্সির মাধ্যমে একটি অনুরোধের দিকে নিয়ে যেতে পারে, যা প্রক্সির মাধ্যমে নিষিদ্ধ, বা ক্যাশে বিষয়বস্তু বিষক্রিয়ার দিকে নিয়ে যেতে পারে৷ প্রকাশের দুর্বলতার জন্য, অনুরোধের পুনর্লিখনের নিয়মগুলি URL থেকে ডেটা ব্যবহার করা প্রয়োজন, যা পরবর্তীতে পাঠানো অনুরোধে প্রতিস্থাপিত হয়। উদাহরণস্বরূপ: RewriteRule “^/here/(.*)” » http://example.com:8080/elsewhere?$1″ http://example.com:8080/elsewhere ; [P] ProxyPassReverse /here/ http://example.com:8080/ http://example.com:8080/

অ-নিরাপত্তা পরিবর্তনগুলির মধ্যে:

• "-T" পতাকাটি রোটেলগ ইউটিলিটিতে যোগ করা হয়েছে, যা লগগুলি ঘোরানোর সময়, প্রাথমিক লগ ফাইলটি ছাঁটাই না করে পরবর্তী লগ ফাইলগুলিকে ছেঁটে ফেলার অনুমতি দেয়৷
• mod_ldap কোনো পুরানো সংযোগের পুনঃব্যবহার কনফিগার করতে LDAPConnectionPoolTTL নির্দেশে নেতিবাচক মানগুলিকে অনুমতি দেয়।
• mod_md মডিউল, ACME (স্বয়ংক্রিয় সার্টিফিকেট ম্যানেজমেন্ট এনভায়রনমেন্ট) প্রোটোকল ব্যবহার করে শংসাপত্রের প্রাপ্তি এবং রক্ষণাবেক্ষণ স্বয়ংক্রিয় করতে ব্যবহৃত হয়, যখন libressl 3.5.0+ এর সাথে কম্পাইল করা হয়, এতে ED25519 ডিজিটাল স্বাক্ষর স্কিম এবং পাবলিক সার্টিফিকেট লগ ইনফরমেশনের জন্য অ্যাকাউন্টিং (CT) অন্তর্ভুক্ত থাকে , সার্টিফিকেট স্বচ্ছতা)। MDChallengeDns01 নির্দেশিকা পৃথক ডোমেনের জন্য সেটিংসের সংজ্ঞা অনুমোদন করে।
• mod_proxy_uwsgi HTTP ব্যাকএন্ড থেকে প্রতিক্রিয়া পরীক্ষা এবং পার্সিং কঠোর করেছে।

উত্স: opennet.ru