🥇HTTP-serveri Apache versioon 2.4.54 turvaaukude parandamisega

Ilmus HTTP-serveri Apache versioon 2.4.53, mis sisaldab 19 muudatust ja 8 haavatavust:

CVE-2022-31813 — haavatavus mod_proxy's, mis võimaldab blokeerida X-Forwarded-* päiste saatmise IP-aadressiga, millest algne päring tuli. Probleemi saab kasutada IP-põhiste juurdepääsupiirangute ületamiseks.
CVE-2022-30556 — haavatavus mod_lua's, mis võimaldab pääseda andmetele väljaspool määratud puhversuure, manipuleerides funktsiooniga r:wsread() Lua skriptides.
CVE-2022-30522 — teenusepuudujääk (kõikide mälude ammendamine) teatud andmete töötlemisel mooduliga mod_sed.
CVE-2022-29404 — teenusepuudujääk mod_lua's, mis käivitatakse saatmise kaudu spetsiaalselt vormindatud päringute Lua töötlejatele, mis kasutavad funktsiooni r:parsebody(0).
CVE-2022-28615, CVE-2022-28614 — teenusepuudujääk või andmete juurdepääs protsessi mälus, mis tuleneb vigadest funktsioonides ap_strcmp_match() ja ap_rwrite(), mis põhjustab mäluühiku ületamist.
CVE-2022-28330 — teabe leke mälu piire ületavatest aladest mod_isapi's (probleem esineb ainult Windows platvormil).
CVE-2022-26377 — mudel mod_proxy_ajp on vastuvõtlik 'HTTP Request Smuggling' rünnakutele frontend-backend süsteemides, mis võimaldavad teiste kasutajate päringute sisu vahele sulgeda, mis töödeldakse samas voos frontend'i ja backend'i vahel.

Kõige märgatavamad mitteohutusega seotud muudatused:

mod_ssl'is on tagatud SSLFIPS režiimi ühilduvus OpenSSL 3.0-ga.
ab utiliidis on rakendatud TLSv1.3 tugi (nõuab sidumist SSL-raamatukoguga, mis toetab seda protokolli).
mod_md-s on MDCertificateAuthority direktiivis lubatud kasutada rohkem kui ühte nime ja CA URL-i. Uued direktiivid: MDRetryDelay (määrab viivituse enne uue päringu saatmist) ja MDRetryFailover (määrab uute katsete arvu, enne kui valitakse alternatiivne sertifitseerimiskeskus). Lisatud tugi staatusele 'auto' väärtuste väljastamiseks formaadis 'key: value'. Andmete haldamine kaitstud kasutajate sertifikaatide jaoks on korraldatud. VPN- Tailscale võrgule.
mod_http2 moodulit on puhastatud kasutamata ja ebaohutust koodist.
mod_proxy's on bänneripordi peegeldamine backend'i vigade logimisõnnetustes.
mod_heartmonitor'is on HeartbeatMaxServers parameetri väärtus muudetud 0-lt 10-le (alguses 10 jagatud mälu ruumi).

Release of Apache 2.4.54 HTTP server with vulnerability fixes