A liberazione di u servitore HTTP Apache 2.4.56 hè stata publicata, chì introduce 6 cambiamenti è elimina 2 vulnerabilità assuciate cù a pussibilità di realizà attacchi "HTTP Request Smuggling" nantu à i sistemi front-end-back-end, chì permettenu di cuncellà in u u cuntenutu di e dumande di l'altri utilizatori processate in u stessu filu trà u frontend è u backend. L'attaccu pò esse usatu per sguassate i sistemi di restrizzione di l'accessu o inserisce codice JavaScript maliziusu in una sessione cù un situ web legittimu.
A prima vulnerabilità (CVE-2023-27522) affetta u modulu mod_proxy_uwsgi è permette chì a risposta sia divisa in duie parti da u latu proxy per via di a sustituzione di caratteri speciali in l'intestazione HTTP restituita da u backend.
A seconda vulnerabilità (CVE-2023-25690) hè presente in mod_proxy è si trova quandu si usanu certe regule di riscrittura di richieste utilizendu a direttiva RewriteRule furnita da u modulu mod_rewrite o certi mudelli in a direttiva ProxyPassMatch. A vulnerabilità puderia purtà à una dumanda per mezu di un proxy per risorse internu, l'accessu à quale hè pruibitu attraversu un proxy, o à avvelenamentu di u cuntenutu di cache. Per a vulnerabilità per manifestà, hè necessariu chì e regule di riscriviri di dumanda utilizanu dati da l'URL, chì hè poi sustituitu in a dumanda chì hè mandata più. Per esempiu: RewriteEngine in RewriteRule "^/here/(.*)" » http://example.com:8080/elsewhere?$1″ http://example.com:8080/elsewhere ; [P] ProxyPassReverse /qui/ http://example.com:8080/ http://example.com:8080/
Trà i cambiamenti non-security:
- A bandiera "-T" hè stata aghjunta à l'utilità rotatelogs, chì permette, in rotazione di logs, truncate i schedarii di log successivi senza truncà u schedariu di log iniziale.
- mod_ldap permette i valori negativi in a direttiva LDAPConnectionPoolTTL per cunfigurà a reutilizazione di qualsiasi vechje cunnessione.
- U modulu mod_md, utilizatu per automatizà a ricezione è u mantenimentu di i certificati utilizendu u protocolu ACME (Automatic Certificate Management Environment), quandu compilatu cù libressl 3.5.0+, include supportu per u schema di firma digitale ED25519 è cuntabilità per l'infurmazioni di logu di certificatu publicu (CT). , Certificatu Trasparenza). A direttiva MDChallengeDns01 permette a definizione di paràmetri per i domini individuali.
- mod_proxy_uwsgi hà strettu a verificazione è l'analisi di risposte da i backend HTTP.
Source: opennet.ru