Δημοσιεύτηκε η έκδοση διακομιστή HTTP Apache 2.4.56, η οποία εισάγει 6 αλλαγές και επιδιορθώνει 2 ευπάθειες που σχετίζονται με τη δυνατότητα πραγματοποίησης επιθέσεων λαθρεμπορίου αιτημάτων HTTP σε συστήματα front-end-backend που μας επιτρέπουν να ενσφηνώνουμε στο περιεχόμενο των αιτημάτων από άλλους χρήστες υποβάλλονται σε επεξεργασία στο ίδιο νήμα μεταξύ frontend και backend. Η επίθεση μπορεί να χρησιμοποιηθεί για την παράκαμψη συστημάτων ελέγχου πρόσβασης ή την εισαγωγή κακόβουλου κώδικα JavaScript σε μια περίοδο λειτουργίας με μια νόμιμη τοποθεσία.
Η πρώτη ευπάθεια (CVE-2023-27522) επηρεάζει τη λειτουργική μονάδα mod_proxy_uwsgi και επιτρέπει στον διακομιστή μεσολάβησης να χωρίσει την απόκριση σε δύο μέρη αντικαθιστώντας ειδικούς χαρακτήρες στην κεφαλίδα HTTP που επιστρέφεται από το backend.
Η δεύτερη ευπάθεια (CVE-2023-25690) υπάρχει στο mod_proxy και εκδηλώνεται όταν χρησιμοποιούνται ορισμένοι κανόνες επανεγγραφής αιτημάτων χρησιμοποιώντας την οδηγία RewriteRule που παρέχεται από τη λειτουργική μονάδα mod_rewrite ή ορισμένα μοτίβα στην οδηγία ProxyPassMatch. Η ευπάθεια μπορεί να έχει ως αποτέλεσμα ένας διακομιστής μεσολάβησης να ζητά εσωτερικούς πόρους που δεν είναι προσβάσιμοι μέσω του διακομιστή μεσολάβησης ή να δηλητηριάσει τα περιεχόμενα της κρυφής μνήμης. Για να εμφανιστεί η ευπάθεια, είναι απαραίτητο τα δεδομένα από τη διεύθυνση URL να χρησιμοποιούνται στους κανόνες επανεγγραφής αιτήματος, οι οποίοι στη συνέχεια αντικαθίστανται στο αίτημα που αποστέλλεται περαιτέρω. Για παράδειγμα: RewriteEngine στο RewriteRule "^/here/(.*)" » http://example.com:8080/elsewhere?$1″ http://example.com:8080/elsewhere ; [P] ProxyPassReverse /εδώ/ http://example.com:8080/ http://example.com:8080/
Οι αλλαγές που δεν αφορούν την ασφάλεια περιλαμβάνουν:
- Η σημαία "-T" προστέθηκε στο βοηθητικό πρόγραμμα rotatelogs, το οποίο επιτρέπει, κατά την περιστροφή αρχείων καταγραφής, να περικόψετε τα επόμενα αρχεία καταγραφής χωρίς να περικόψετε το αρχικό αρχείο καταγραφής.
- Το Mod_ldap επιτρέπει αρνητικές τιμές στην οδηγία LDAPConnectionPoolTTL για τη διαμόρφωση της επαναχρησιμοποίησης τυχόν παλιών συνδέσεων.
- Στη μονάδα mod_md, που χρησιμοποιείται για την αυτοματοποίηση της λήψης και συντήρησης πιστοποιητικών χρησιμοποιώντας το πρωτόκολλο ACME (Automatic Certificate Management Environment), όταν είναι κατασκευασμένο με libressl 3.5.0+, υποστήριξη για το σχήμα ψηφιακής υπογραφής ED25519 και καταγραφή πληροφοριών στο δημόσιο αρχείο καταγραφής περιλαμβάνονται πιστοποιητικά (CT, Διαφάνεια Πιστοποιητικού). Η οδηγία MDChallengeDns01 επιτρέπει τον καθορισμό ρυθμίσεων για μεμονωμένους τομείς.
- Το mod_proxy_uwsgi ενίσχυσε τον έλεγχο και την ανάλυση των απαντήσεων από τα backends HTTP.
Πηγή: opennet.ru