Udgivelsen af HTTP-serveren Apache 2.4.56, som indeholder 6 ændringer og løser 2 sårbarheder, der vedrører muligheden for angreb af typen 'HTTP Request Smuggling' mod frontend-backend-systemer, der muliggør indgreb i indholdet af anmodninger fra andre brugere, der behandles i den samme strøm mellem frontend og backend. Angrebet kan bruges til at omgå adgangsbegrænsningssystemer eller indsætte skadelig JavaScript-kode i sessionen med et legitimt websted.
Den første sårbarhed (CVE-2023-27522) påvirker modulet mod_proxy_uwsgi og tillader proxy-siden at opdele svaret i to dele ved at indsætte specielle tegn i HTTP-headeren, der returneres af backend.
Den anden sårbarhed (CVE-2023-25690) findes i mod_proxy og viser sig ved brug af visse omskrivningsregler ved hjælp af direktivet RewriteRule, leveret af modulet mod_rewrite, eller bestemte mønstre i direktivet ProxyPassMatch. Sårbarheden kan føre til anmodning om interne ressourcer gennem proxy, som ikke må tilgås via proxy, eller til forurening af cache-indhold. For at sårbarheden skal kunne udnyttes, skal der bruges data fra URL'en i omskrivningsreglerne for anmodningen, som derefter indsættes i den videre sendte anmodning. For eksempel: RewriteEngine on RewriteRule "^/here/(.*)" "http://example.com:8080/elsewhere?$1" http://example.com:8080/elsewhere ; [P] ProxyPassReverse /here/ http://example.com:8080/ http://example.com:8080/
Blandt ændringerne, der ikke er relateret til sikkerhed:
- I værktøjet rotatelogs er der tilføjet et flag "-T", der gør det muligt at forkorte de efterfølgende logfiler uden at forkorte den oprindelige logfil under logrotation.
- I mod_ldap er det blevet muligt at angive negative værdier i direktivet LDAPConnectionPoolTTL for at tilpasse genbrug af eventuelle gamle forbindelser.
- I modulet mod_md, der bruges til at automatisere opnåelse og vedligeholdelse af certifikater ved hjælp af ACME-protokollen (Automatic Certificate Management Environment), er der ved opbygning med libressl 3.5.0+ tilføjet support for digital signaturordningen ED25519 og håndtering af oplysninger fra det offentlige certifikatskatalog (CT, Certificate Transparency). I direktivet MDChallengeDns01 er det tilladt at definere indstillinger for enkeltstående domæner.
- I mod_proxy_uwsgi er kontrol og parsing af svar fra HTTP-backends blevet strammet.
Kilde: opennet.ru
