Apache HTTP-server version 2.4.53 er udgivet med 19 ændringer og 8 sårbarheder løst:
- CVE-2022-31813 — en sårbarhed i mod_proxy, der tillader blokering af afsendelse af X-Forwarded-* headers med oplysninger om IP-adressen, som den oprindelige anmodning kom fra. Problemet kan udnyttes til at omgå IP-adresse adgangsbegrænsninger.
- CVE-2022-30556 — en sårbarhed i mod_lua, der tillader adgang til data uden for den tildelte buffer gennem manipulation med funktionen r:wsread() i Lua-scripts.
- CVE-2022-30522 — en denial-of-service (udtømning af tilgængelig hukommelse) ved behandling af bestemte data af mod_sed-modulet.
- CVE-2022-29404 — denial-of-service i mod_lua, udnyttet gennem afsendelse af specialdesignede anmodninger til Lua-handlere, der bruger opkaldet r:parsebody(0).
- CVE-2022-28615, CVE-2022-28614 — denial-of-service eller adgang til data i hukommelsen af processen på grund af fejl i funktionerne ap_strcmp_match() og ap_rwrite(), som fører til læsning uden for bufret.
- CVE-2022-28330 — informationslækage fra områder uden for buffergrænserne i mod_isapi (problemet opstår kun på Windows-platformen).
- CVE-2022-26377 — modulen mod_proxy_ajp er sårbar over for HTTP Request Smuggling angreb på front-end til back-end systemer, hvilket muliggør injektion af indhold i anmodninger fra andre brugere, der behandles i samme tråd mellem front-end og back-end.
De mest markante ændringer, der ikke vedrører sikkerhed:
- I mod_ssl er der sikret kompatibilitet med SSLFIPS-tilstand for OpenSSL 3.0.
- I ab-værktøjet er der implementeret support for TLSv1.3 (kræver binding til SSL- et bibliotek, der understøtter denne protokol).
- I mod_md ved direktivet MDCertificateAuthority er det tilladt at bruge mere end ét navn og URL for certifikatmyndigheden. Nye direktiver er tilføjet: MDRetryDelay (definerer ventetiden før afsendelse af et gensendingsanmodning) og MDRetryFailover (definerer antallet af forsøg ved fejl før valg af alternativ certifikatmyndighed). Support for 'auto'-tilstand ved udskrivning af værdier i 'key: value'-format er tilføjet. Der er mulighed for at styre certifikater for brugere af den sikre VPN- Tailscale-netværket er blevet droppet.
- Der er beregnet en oprydning af mod_http2-modulet for ubrugelig og usikker kode.
- I mod_proxy er netværkets backend-port reflekteret i fejlmeddelelser logget i logfilen.
- I mod_heartmonitor er parameteren HeartbeatMaxServers ændret fra 0 til 10 (initialisering af 10 delte hukommelsesslots).
Kilde: opennet.ru
