Apache 2.4.56 http server release nga adunay mga kahuyangan nga naayo

Ang pagpagawas sa Apache HTTP server 2.4.56 gimantala, nga nagpaila sa 6 nga mga pagbag-o ug nagwagtang sa 2 nga mga kahuyangan nga nalangkit sa posibilidad sa paghimo sa "HTTP Request Smuggling" nga mga pag-atake sa front-end-back-end nga mga sistema, nga nagtugot sa pag-wedge ngadto sa sulod sa mga hangyo sa ubang tiggamit nga giproseso sa samang hilo tali sa frontend ug backend. Ang pag-atake mahimong gamiton sa paglaktaw sa mga sistema sa pagpugong sa pag-access o pagsal-ot sa malisyosong JavaScript code ngadto sa sesyon nga adunay lehitimong website.

Ang unang kahuyang (CVE-2023-27522) makaapekto sa mod_proxy_uwsgi module ug nagtugot sa tubag nga mabahin sa duha ka bahin sa proxy nga bahin pinaagi sa pag-ilis sa mga espesyal nga karakter sa HTTP header nga gibalik sa backend.

Ang ikaduha nga kahuyang (CVE-2023-25690) anaa sa mod_proxy ug mahitabo sa dihang naggamit sa pipila ka hangyo sa pagsulat pag-usab nga mga lagda gamit ang RewriteRule nga direktiba nga gihatag sa mod_rewrite module o pipila ka mga sumbanan sa ProxyPassMatch nga direktiba. Ang pagkahuyang mahimong mosangpot sa usa ka hangyo pinaagi sa usa ka proxy alang sa internal nga mga kapanguhaan nga dili gitugotan nga ma-access pinaagi sa usa ka proxy, o sa pagkahilo sa mga sulod sa cache. Aron mapadayag ang pagkahuyang, gikinahanglan nga ang mga lagda sa pagsulat pag-usab sa hangyo mogamit sa datos gikan sa URL, nga dayon ilisan sa hangyo nga gipadala pa. Pananglitan: RewriteEngine sa RewriteRule “^/here/(.*)” » http://example.com:8080/elsewhere?$1″ http://example.com:8080/elsewhere ; [P] ProxyPassReverse / dinhi/ http://example.com:8080/ http://example.com:8080/

Lakip sa dili-seguridad nga mga pagbag-o:

• Ang "-T" nga bandera gidugang sa rotatelogs utility, nga nagtugot, sa pag-rotate sa mga troso, sa pagputol sa sunod nga mga file sa log nga dili putlon ang inisyal nga log file.
• Gitugotan sa mod_ldap ang mga negatibo nga kantidad sa direktiba sa LDAPConnectionPoolTTL aron ma-configure ang paggamit pag-usab sa bisan unsang daan nga koneksyon.
• Ang mod_md module, nga gigamit sa pag-automate sa resibo ug pagmentinar sa mga sertipiko gamit ang ACME (Automatic Certificate Management Environment) protocol, kung giipon sa libressl 3.5.0+, naglakip sa suporta alang sa ED25519 digital signature scheme ug accounting alang sa public certificate log information (CT). , Transparency sa Sertipiko). Ang direktiba sa MDChallengeDns01 nagtugot sa kahulugan sa mga setting alang sa indibidwal nga mga dominyo.
• Ang mod_proxy_uwsgi nagpahugot sa pagsusi ug pag-parse sa mga tubag gikan sa HTTP backends.

Source: opennet.ru