🥇Apache HTTP-serveri 2.4.54 versioon, kus on turvaaukude parandused

Avaldas HTTP-serveri Apache 2.4.53 versiooni, kus on 19 muudatust ja 8 turvaaukude parandust:

CVE-2022-31813 — turvaauk mod_proxy-s, mis blokeerib X-Forwarded-* pealkirjade saatmise koos IP-aadressiga, millest algne päring tuli. Probleemi saab kasutada IP-aadresside juurdepääsupiirangute mööda hiilimiseks.
CVE-2022-30556 — turvaauk mod_lua-s, mis võimaldab pääseda andmetele väljaspool eraldatud puhverserverit, manipuleerides r:wsread() funktsiooniga Lua skriptides.
CVE-2022-30522 — teenuse katkestamine (mäluturbete väiksemiseks) teatud andmete töötlemisel mod_sed mooduliga.
CVE-2022-29404 — teenuse katkestamine mod_lua-s, mis ära kasutatakse spetsiaalselt vormindatud päringute saatmise kaudu Lua töötlejatele, mis kasutavad r:parsebody(0) kutsungit.
CVE-2022-28615, CVE-2022-28614 — teenuse katkestamine või andmete pääs vahemälus processis vigade tõttu funktsioonides ap_strcmp_match() ja ap_rwrite(), mis viivad andmete lugemiseni puhvri piiridest.
CVE-2022-28330 — teabe leke puhvri piiridest väljaspool mod_isapi-s (probleem ilmneb ainult Windowsis).
CVE-2022-26377 — moodul mod_proxy_ajp on vastuvõtlik HTTP Request Smuggling rünnakute suhtes front-end’i ja back-end’i süsteemide vahel, mis võimaldab teiste kasutajate päringute sisu segada, mis töödeldakse sama voos front-end'i ja back-end'i vahel.

Kõige märgatavamad muudatused, mis ei ole seotud turvalisuse tõstmisega:

mod_ssl-s on tagatud SSLFIPS režiimi ühilduvus OpenSSL 3.0-ga.
ab utiliidis on lisatud tugi TLSv1.3-le (nõutav sidumine) SSL-teegiga, mis toetab seda protokolli.
mod_md-s on MDCertificateAuthority direktiivis lubatud kasutada rohkem kui ühte nime ja CA URL-i. Lisatud on uued direktiivid: MDRetryDelay (määrab viivituse enne uue päringu saadet) ja MDRetryFailover (määrab korduste arvu, kui katse ebaõnnestub enne alternatiivse CA valimist). Lisatud on tugi 'auto' olekule väärtuste väljundis formaadis 'key: value'. Sertifikaatide haldamise võimalus on antud kaitstud VPN- Tailscale võrgud.
mod_http2 moodul on puhastatud kasutamata ja ebaturvalisest koodist.
mod_proxy-s on tagatud back-end'i võrguporti peegeldamine vigade logimis sõnumites.
mod_heartmonitor-s on HeartbeatMaxServers parameetri väärtus muudetud 0-lt 10-le (10 jagatud mälu sloti initsialiseerimiseks).

Apache http-serveri väljaanne 2.4.54 haavatavuste kõrvaldamisega.