Byl uvolněn Apache HTTP server 2.4.53, který obsahuje 19 změn a opravuje 8 zranitelností:
- CVE-2022-31813 — zranitelnost v mod_proxy, která umožňuje blokovat odesílání hlaviček X-Forwarded-* s informacemi o IP adresách, ze kterých byl původně odeslán požadavek. Tento problém může být využit k obcházení IP adresových restrikcí.
- CVE-2022-30556 — zranitelnost v mod_lua, která umožňuje přístup k datům mimo vyhrazenou paměť prostřednictvím manipulace s funkcí r:wsread() ve skriptech Lua.
- CVE-2022-30522 — odmítnutí služby (vyčerpání dostupné paměti) při zpracování určitých dat modulem mod_sed.
- CVE-2022-29404 — odmítnutí služby v mod_lua, které lze zneužít prostřednictvím odesílání speciálně formulovaných požadavků Lua zpracovatelům využívajícím volání r:parsebody(0).
- CVE-2022-28615, CVE-2022-28614 — odmítnutí služby nebo získání přístupu k datům v paměti procesu kvůli chybám v funkcích ap_strcmp_match() a ap_rwrite(), které vedou ke čtení mimo hranice vyhrazené paměti.
- CVE-2022-28330 — únik informací z oblastí mimo hranice paměti v mod_isapi (problém se projevuje pouze na platformě Windows).
- CVE-2022-26377 — modul mod_proxy_ajp je náchylný k útokům typu „HTTP Request Smuggling“ na front-end a back-end systémy, které umožňují vniknout do obsahu požadavků jiných uživatelů zpracovávaných ve stejném vláknu mezi front-endem a back-endem.
Nejvýznamnější změny, které nejsou spojeny s bezpečností:
- V mod_ssl byla zajištěna kompatibilita režimu SSLFIPS s OpenSSL 3.0.
- V utilitě ab byla implementována podpora TLSv1.3 (vyžaduje propojení s SSL-knihovnou, která tento protokol podporuje).
- V mod_md byla v direktivě MDCertificateAuthority povolena použití více než jednoho jména a URL certifikační autority. Byly přidány nové direktivy: MDRetryDelay (definuje zpoždění před odesláním opětovného požadavku) a MDRetryFailover (určuje počet pokusů v případě chyby před zvolením alternativní certifikační autority). Byla přidána podpora stavu „auto“ při výstupu hodnot ve formátu „key: value“. Byla poskytnuta možnost správy certifikátů pro uživatele chráněné VPN-sítě Tailscale.
- Byla vyčištěna modulu mod_http2 od nepoužívaného a nebezpečného kódu.
- V mod_proxy bylo zajištěno zrcadlení síťového portu back-endu v chybových hlášeních zapisovaných do logu.
- V mod_heartmonitor byla změněna hodnota parametru HeartbeatMaxServers z 0 na 10 (inicializace 10 slotů sdílené paměti).
Zdroj: opennet.ru
