Byla zveřejněna verze Apache HTTP Server 2.4.53, která zavádí 14 změn a opravuje 4 zranitelnosti:
- CVE-2022-22720 - možnost provedení útoku "HTTP Request Smuggling", který umožňuje odesláním speciálně navržených požadavků klienta vklínit se do obsahu požadavků jiných uživatelů přenášených přes mod_proxy (například můžete dosáhnout substituce škodlivého kódu JavaScript v relaci jiného uživatele webu). Problém je způsoben ponecháním otevřených příchozích připojení po zjištění chyb při zpracování neplatného těla požadavku.
- CVE-2022-23943 - Přetečení vyrovnávací paměti v modulu mod_sed, které umožňuje přepsání obsahu paměti haldy daty kontrolovanými útočníky.
- CVE-2022-22721 - Zápis mimo meze kvůli přetečení celého čísla, ke kterému dochází při předávání těla požadavku většího než 350 MB. Problém se projevuje na 32bitových systémech, v jejichž nastavení je hodnota LimitXMLRequestBody nastavena příliš vysoko (standardně 1 MB, pro útok musí být limit vyšší než 350 MB).
- CVE-2022-22719 je chyba zabezpečení v mod_lua, která umožňuje čtení náhodných oblastí paměti a zhroucení procesu při zpracování speciálně vytvořeného těla požadavku. Problém je způsoben použitím neinicializovaných hodnot v kódu funkce r:parsebody.
Nejpozoruhodnější změny netýkající se zabezpečení jsou:
- V mod_proxy byl zvýšen limit na počet znaků ve jménu handleru (pracovníka). Přidána možnost selektivně konfigurovat časové limity pro backend a frontend (například ve vztahu k pracovníkovi). U požadavků odeslaných přes websockets nebo metodou CONNECT byl časový limit změněn na maximální hodnotu nastavenou pro backend a frontend.
- Oddělená manipulace s otevíráním souborů DBM a načítáním ovladače DBM. V případě havárie nyní protokol zobrazuje podrobnější informace o chybě a ovladači.
- mod_md přestal zpracovávat požadavky na /.well-known/acme-challenge/, pokud nastavení domény výslovně neumožňovalo použití typu výzvy 'http-01'.
- mod_dav opravil regresi, která způsobovala vysokou spotřebu paměti při zpracování velkého množství zdrojů.
- Přidána možnost používat pro zpracování regulárních výrazů knihovnu pcre2 (10.x) místo knihovny pcre (8.x).
- Do filtrů dotazů byla přidána podpora pro analýzu anomálií LDAP, aby bylo možné správně kontrolovat data při pokusu o provedení substitučních útoků pomocí konstruktů LDAP.
- V mpm_event bylo opraveno zablokování, ke kterému dochází při restartování nebo překročení limitu MaxConnectionsPerChild na vysoce zatížených systémech.
Zdroj: opennet.ru