Bylo vydáno vydání HTTP serveru Apache 2.4.56, které obsahuje 6 změn a opravuje 2 zranitelnosti, související s možností provádění útoků typu 'HTTP Request Smuggling' na front-endové a back-endové systémy, které umožňují zasahovat do obsahu požadavků ostatních uživatelů zpracovávaných ve stejném vlákně mezi front-endem a back-endem. Útok může být použit k obcházení systémů omezení přístupu nebo k vložení škodlivého JavaScriptového kódu do relace s legitimní webovou stránkou.
První zranitelnost (CVE-2023-27522) se týká modulu mod_proxy_uwsgi a umožňuje na straně proxy oddělit odpověď na dvě části vkládáním speciálních znaků do vracených HTTP hlaviček z back-endu.
Druhá zranitelnost (CVE-2023-25690) se vyskytuje v mod_proxy a projevuje se při používání některých pravidel přepisování požadavků pomocí direktivy RewriteRule poskytované modulem mod_rewrite, nebo určitou šablonou v direktivě ProxyPassMatch. Zranitelnost může vést k požadavkům přes proxy na interní zdroje, k jejichž přístupu je přes proxy zakázáno, nebo ke znečištění obsahu cache. Aby se zranitelnost projevila, musí být v pravidlech přepisování požadavku použita data z URL, která se následně vloží do odesílaného požadavku. Například: RewriteEngine on RewriteRule "^\/here\/(.*)" " http://example.com:8080/elsewhere?$1" http://example.com:8080/elsewhere ; [P] ProxyPassReverse \/here\/ http://example.com:8080\/ http://example.com:8080\/
Mezi změnami, které se netýkají bezpečnosti:
- Do utility rotatelogs byl přidán příznak "-T", který umožňuje při rotaci logů provádět ořezání následujících logových souborů bez ořezání počátečního logového souboru.
- V mod_ldap bylo povoleno uvádět v direktivě LDAPConnectionPoolTTL záporné hodnoty pro nastavování opětovného použití jakýchkoli starých připojení.
- V modulu mod_md, který se používá pro automatizaci získávání a údržby certifikátů s využitím protokolu ACME (Automatic Certificate Management Environment), byla při sestavování s libressl 3.5.0+ přidána podpora pro digitální podpisové schéma ED25519 a sledování informací veřejného logu certifikátů (CT, Certificate Transparency). V direktivě MDChallengeDns01 bylo povoleno definování nastavení pro jednotlivé domény.
- V mod_proxy_uwsgi byla zpřísněna kontrola a analýza odpovědí od HTTP back-endů.
Zdroj: opennet.ru
