🥇Apache HTTP-serveri 2.4.53 väljaanne ohtlike turvaauguste kõrvaldamisega

Avaldatud on HTTP-serveri Apache 2.4.53 väljalase, kus on esitatud 14 muudatust ja kõrvaldatud 4 haavatavust:

CVE-2022-22720 — võimalus teha "HTTP Request Smuggling" rünnak, mis lubab hoolikalt vormindatud kliendipäringute saatmise kaudu siseneda teiste kasutajate päringute sisusse, mida edastatakse läbi mod_proxy (näiteks on võimalik pahatahtlik JavaScript-kood sisestada teise kasutaja seanssile). Probleem tuleneb sisse tulevate ühenduste jätmisest avatuks pärast vigu vigaselt vormindatud päringu keha töötlemisel.
CVE-2022-23943 — puhverülevool mod_sed moodulis, mis võimaldab ründajal kirjutada mälu sisu, juhindudes ründaja kontrolli all olevatest andmetest.
CVE-2022-22721 — võimalus kirjutada puhvrist välja tervete arvude ülevoolu tõttu, mis tekib, kui päringu keha suurus ületab 350MB. Probleem ilmneb 32-bitistes süsteemides, kus on seatud liiga suur LimitXMLRequestBody väärtus (vaikimisi 1 MB, rünnaku jaoks peab piir olema üle 350 MB).
CVE-2022-22719 — haavatavus mod_lua moodulis, mis lubab juhuslike mälu piirkondade lugemist ja toimuvale päringu keha töötlemise ajal protsessi kokkujooksmist. Probleem tuleneb initsialiseerimata väärtuste kasutamisest funktsiooni r:parsebody koodis.

Kõige märgatavamad mitteohutusega seotud muudatused:

Mod_proxy-s on suurendatud töötleja (worker) nime sümbolite arvu limiiti. Lisatud on võimalus valida bänni ja frontendi aegumiste seadistamine (näiteks töötleja seostamiseks). Websocketide kaudu saadetud päringute või CONNECT meetodi jaoks on aegumise aega muudetud maksimaalseks väärtuseks, mis on seatud bänni ja frontendi jaoks.
DBM-failide avamise ja DBM-juhtme laadimise töötlemine on lahutatud. Logis kuvatakse nüüd tõrke ja juhi kohta üksikasjalikumat teavet.
Mod_md-s lõpetatakse päringute töötlemine \/.well-known\/acme-challenge\/ jaoks, kui seadistustes domeen ei ole selgelt lubatud ‘http-01’ kontrollimise tüübi kasutamine.
Mod_dav-s on kõrvaldatud tagasiulatuv muudatus, mis põhjustas mälukasutuse suurenemist suure arvu ressursside töötlemisel.
Lisatud on võimalus kasutada pcre2 (10.x) raamatukogu regulaaravaldiste töötlemiseks pcre (8.x) asemel.
Päringute filtritesse on lisatud anomaaliate analüüsi tugi LDAP-protokolli jaoks, et tagada andmete korrektne varjamine LDAP-mustreid kasutavate rünnakute korral.
mpm_eventis on kõrvaldatud omavahelised ummikud, mis tekkisid teenuse taaskäivitamisel või MaxConnectionsPerChild piirangute ületamisel suure töötlemise koormusega süsteemides.

Apache http-serveri versioon 2.4.53 on välja antud koos ohtlike haavatavustega parandustega.