{"id":103543,"date":"2022-03-15T09:37:16","date_gmt":"2022-03-15T07:37:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/reliz-http-servera-apache-2-4-53-s-ustraneniem-opasnyh-uyazvimostej"},"modified":"2022-03-15T09:37:16","modified_gmt":"2022-03-15T07:37:16","slug":"reliz-http-servera-apache-2-4-53-s-ustraneniem-opasnyh-uyazvimostej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/reliz-http-servera-apache-2-4-53-s-ustraneniem-opasnyh-uyazvimostej","title":{"rendered":"Udgivelse af http-serveren Apache 2.4.53 med reparation af kritiske s\u00e5rbarheder.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Udgivelsen af HTTP-serveren Apache 2.4.53 er offentliggjort, som indeholder 14 \u00e6ndringer og reparation af 4 s\u00e5rbarheder: <\/p>\n
\n
CVE-2022-22720 \u2014 muligheden for at udf\u00f8re et 'HTTP Request Smuggling'-angreb, der g\u00f8r det muligt at indlejre indholdet af anmodninger fra andre brugere ved at sende specielt udformede klientanmodninger gennem mod_proxy (for eksempel kan det opn\u00e5s, at skadelig JavaScript-kode inds\u00e6ttes i en anden brugers session p\u00e5 hjemmesiden). Problemet skyldes, at indg\u00e5ende forbindelser efterlades \u00e5bne efter, at der opst\u00e5r fejl under behandlingen af et ugyldigt anmodningslegeme.\n
CVE-2022-23943 \u2014 buffer overflow i modulet mod_sed, som muligg\u00f8r overskrivning af hukommelsens indhold med data, der kontrolleres af angriberen.\n
CVE-2022-22721 \u2014 mulighed for at skrive uden for bufferet p\u00e5 grund af et heltals overflow, der opst\u00e5r ved overf\u00f8rsel af et anmodningslegeme st\u00f8rre end 350 MB. Problemet opst\u00e5r p\u00e5 32-bit systemer, hvor indstillingen for LimitXMLRequestBody er sat for h\u00f8jt (standard er 1 MB, for at et angreb kan finde sted, skal gr\u00e6nsen v\u00e6re over 350 MB).\n
CVE-2022-22719 \u2014 en s\u00e5rbarhed i mod_lua, der muligg\u00f8r l\u00e6sning af tilf\u00e6ldige hukommelsesomr\u00e5der og \u00e5rsager til procesnedbrud ved behandling af et specielt udformet anmodningslegeme. Problemet skyldes brugen af ikke-initialiserede v\u00e6rdier i koden for funktionen r:parsebody. <\/ul>\n
De mest markante \u00e6ndringer, der ikke vedr\u00f8rer sikkerhed: <\/p>\n
\n
I mod_proxy er gr\u00e6nsen for antallet af tegn i handlerens navn (worker) blevet h\u00e6vet. Der er tilf\u00f8jet mulighed for selektiv indstilling af timeout for backend og frontend (f.eks. bundet til en worker). For anmodninger sendt via websockets eller CONNECT-metoden er timeouten \u00e6ndret til den maksimale v\u00e6rdi, der er indstillet for backend og frontend.\n
Behandlingen af \u00e5bning af DBM-filer og indl\u00e6sning af DBM-driver er blevet adskilt. Ved fejl i loggen vises nu mere detaljerede oplysninger om fejlen og driveren.\n