Se ha publicado la versión del servidor HTTP Apache 2.4.53, que presenta 19 cambios y corrige 8 vulnerabilidades:
- CVE-2022-31813 es una vulnerabilidad en mod_proxy que puede bloquear el envío de encabezados X-Forwarded-* con información sobre la dirección IP de donde provino la solicitud original. El problema se puede utilizar para evitar las restricciones de acceso basadas en direcciones IP.
- CVE-2022-30556 es una vulnerabilidad en mod_lua que permite el acceso a datos fuera del búfer asignado mediante manipulaciones con la función r:wsread() en los scripts de Lua.
- CVE-2022-30522: Denegación de servicio (fuera de memoria disponible) mientras procesa ciertos datos por parte de mod_sed.
- CVE-2022-29404: denegación de servicio mod_lua explotada mediante el envío de solicitudes especialmente diseñadas a controladores de Lua mediante la llamada r:parsebody(0).
- CVE-2022-28615, CVE-2022-28614: denegación de servicio o acceso a datos en la memoria de proceso debido a errores en las funciones ap_strcmp_match() y ap_rwrite(), lo que da como resultado una lectura desde una región fuera del límite del búfer.
- CVE-2022-28330: fuga de información fuera de los límites en mod_isapi (el problema solo aparece en la plataforma Windows).
- CVE-2022-26377: El módulo mod_proxy_ajp es susceptible a ataques de "contrabando de solicitudes HTTP" en sistemas front-end-backend que permiten que el contenido de las solicitudes de otros usuarios se infiltre en el mismo hilo entre el front-end y el back-end. .
Los cambios no relacionados con la seguridad más notables son:
- mod_ssl hace que el modo SSLFIPS sea compatible con OpenSSL 3.0.
- La utilidad ab implementa soporte para TLSv1.3 (requiere vinculación a una biblioteca SSL que admita este protocolo).
- En mod_md, la directiva MDCertificateAuthority permite más de un nombre de CA y URL. Se agregaron nuevas directivas: MDRetryDelay (define el retraso antes de enviar una solicitud de reintento) y MDRetryFailover (define el número de reintentos en caso de falla antes de elegir una CA alternativa). Se agregó soporte para el estado "automático" al mostrar valores en el formato "clave: valor". Se proporcionó la capacidad de administrar certificados para usuarios de VPN segura de Tailscale.
- El módulo mod_http2 se ha limpiado de código inseguro y no utilizado.
- mod_proxy proporciona un reflejo del puerto de red backend en mensajes de error escritos en el registro.
- En mod_heartmonitor, el valor del parámetro HeartbeatMaxServers se cambió de 0 a 10 (inicialización de 10 ranuras de memoria compartida).
Fuente: opennet.ru