Udgivelsen af HTTP-serveren Apache 2.4.53 er offentliggjort, som indeholder 14 ændringer og reparation af 4 sårbarheder:
- CVE-2022-22720 — muligheden for at udføre et angreb kaldet 'HTTP Request Smuggling', der gør det muligt at indsætte ondsindet JavaScript-kode i sessionen for en anden bruger på siden ved at sende specielt formaterede klientanmodninger. Problemet skyldes, at indgående forbindelser holdes åbne efter fejl ved behandling af et ugyldigt anmodningsindhold.
- CVE-2022-23943 — buffer overflow i modulet mod_sed, der muliggør overskrivning af heap-området med data, der kontrolleres af angriberen.
- CVE-2022-22721 — mulig skrivning uden for bufferen på grund af et heltalsoverskud, der opstår, når der sendes anmodninger med en størrelse over 350 MB. Problemet opstår på 32-bit systemer, hvor LimitXMLRequestBody er sat til en alt for høj værdi (som standard 1 MB, angrebet kræver, at grænsen overskrider 350 MB).
- CVE-2022-22719 — sårbarhed i mod_lua, der muliggør læsning af tilfældige hukommelsesområder og nedbrud af processen, når der behandles et specielt formateret anmodningsindhold. Problemet skyldes brug af uinitialiserede værdier i koden for r:parsebody-funktionen.
De mest markante ændringer, der ikke vedrører sikkerhed:
- I mod_proxy er grænsen for antallet af tegn i handlerens navn (worker) blevet hævet. Der er tilføjet mulighed for selektiv indstilling af timeout for backend og frontend (f.eks. bundet til en worker). For anmodninger sendt via websockets eller CONNECT-metoden er timeouten ændret til den maksimale værdi, der er indstillet for backend og frontend.
- Behandlingen af åbning af DBM-filer og indlæsning af DBM-driver er blevet adskilt. Ved fejl i loggen vises nu mere detaljerede oplysninger om fejlen og driveren.
- I mod_md er behandlingen af anmodninger til /.well-known/acme-challenge/ stoppet, medmindre indstillingen domænet eksplicit inkluderer brugen af typen ‘http-01’ verifikation.
- I mod_dav er et regressionsproblem løst, der førte til højt hukommelsesforbrug ved behandling af et stort antal ressourcer.
- Muligheden for at bruge biblioteket pcre2 (10.x) i stedet for pcre (8.x) til behandling af regulære udtryk er blevet tilføjet.
- Der er tilføjet støtte til anomalianalyse for LDAP-protokollen i forespørgselsfiltrene for korrekt at undgå data ved forsøg på LDAP-injection-angreb.
- Der er løst et problem med dødlås i mpm_event, der opstod under genstart eller når grænsen for MaxConnectionsPerChild overskredes på højbelastede systemer.
Kilde: opennet.ru
