Mae rhyddhau gweinydd Apache HTTP 2.4.56 wedi'i gyhoeddi, sy'n cyflwyno 6 newid ac yn dileu 2 wendid sy'n gysylltiedig â'r posibilrwydd o gynnal ymosodiadau “Smyglo Cais HTTP” ar systemau pen blaen-cefn, gan ganiatáu i letemu i mewn i'r cynnwys ceisiadau defnyddwyr eraill wedi'u prosesu yn yr un trywydd rhwng blaen y pen a'r pen ôl. Gellir defnyddio'r ymosodiad i osgoi systemau cyfyngu mynediad neu fewnosod cod JavaScript maleisus mewn sesiwn gyda gwefan gyfreithlon.
Mae'r bregusrwydd cyntaf (CVE-2023-27522) yn effeithio ar y modiwl mod_proxy_uwsgi ac yn caniatáu i'r ymateb gael ei rannu'n ddwy ran ar ochr y dirprwy trwy amnewid nodau arbennig yn y pennyn HTTP a ddychwelwyd gan y pen ôl.
Mae'r ail fregusrwydd (CVE-2023-25690) yn bresennol yn mod_proxy ac mae'n digwydd wrth ddefnyddio rhai rheolau ailysgrifennu ceisiadau gan ddefnyddio'r gyfarwyddeb RewriteRule a ddarperir gan y modiwl mod_rewrite neu batrymau penodol yn y gyfarwyddeb ProxyPassMatch. Gallai'r bregusrwydd arwain at gais trwy ddirprwy am adnoddau mewnol na chaniateir eu cyrchu trwy ddirprwy, neu at wenwyno cynnwys storfa. Er mwyn i'r bregusrwydd ddod i'r amlwg, mae angen i'r cais ailysgrifennu rheolau ddefnyddio data o'r URL, sydd wedyn yn cael ei amnewid yn y cais a anfonir ymhellach. Er enghraifft: RewriteEngine ar RewriteRule “^/here/(.*)” » http://example.com:8080/elsewhere?$1″ http://example.com:8080/elsewhere ; [P] ProxyPassReverse /yma/ http://example.com:8080/ http://example.com:8080/
Ymhlith y newidiadau nad ydynt yn ymwneud â diogelwch:
- Mae'r faner “-T” wedi'i hychwanegu at y cyfleustodau rotatelogs, sy'n caniatáu, wrth gylchdroi logiau, i gwtogi ffeiliau log dilynol heb gwtogi'r ffeil log gychwynnol.
- mod_ldap yn caniatáu gwerthoedd negyddol yn y gyfarwyddeb LDAPConnectionPoolTTL i ffurfweddu ailddefnyddio unrhyw hen gysylltiadau.
- Mae'r modiwl mod_md, a ddefnyddir i awtomeiddio derbyn a chynnal tystysgrifau gan ddefnyddio'r protocol ACME (Amgylchedd Rheoli Tystysgrifau Awtomatig), o'i lunio gyda libressl 3.5.0+, yn cynnwys cefnogaeth i gynllun llofnod digidol ED25519 a chyfrifo am wybodaeth log tystysgrif gyhoeddus (CT , Tryloywder Tystysgrif). Mae cyfarwyddeb MDChallengeDns01 yn caniatáu diffinio gosodiadau ar gyfer parthau unigol.
- mod_proxy_uwsgi wedi tynhau'r broses o wirio a dosrannu ymatebion o backends HTTP.
Ffynhonnell: opennet.ru