Apache HTTP serveri 2.4.56 väljaanne koos haavatavuste kõrvaldamisega.

Avalikustatud on HTTP-serveri Apache 2.4.56 väljaanne, mis sisaldab 6 muudatust ja lahendab 2 haavatavust, mis on seotud „HTTP-päringu smuggling“ rünnakutega frontendi ja tagaplaani süsteemides, mis võimaldavad teiste kasutajate päringute sisu häkkimist, mis töödeldakse samas voos frontendi ja tagaplaani vahel. Rünnakut saab kasutada juurdepääsu piirangute süsteemide eelminekuks või pahatahtliku JavaScript-koodi paigaldamiseks legaalse saidi sessiooni.

Esimene haavatavus (CVE-2023-27522) mõjutab mod_proxy_uwsgi moodulit ja võimaldab eemalsetes serverites jaotada vastuse kaheks osaks, asendades tagasi saadetud HTTP-pealkirjas erimärke.

Teine haavatavus (CVE-2023-25690) esineb mod_proxy's ja ilmneb, kui kasutatakse teatud päringute ülekirjutamise reegleid, kasutades mod_rewrite mooduli pakutavat RewriteRule direktiivi või kindlaid mustreid ProxyPassMatch direktiivis. Haavatavus võib viia siseressursside päringute edastamiseni läbi proxy, kuhu pääsemine proxy kaudu on keelatud, või vahemälu sisu kahjustamiseni. Haavatavuse ilmnemiseks peab päringute ülekirjutamise reeglistik kasutama URL-ist saadud andmeid, mis seejärel sisestatakse edastatud päringusse. Näiteks: RewriteEngine on RewriteRule «^/here/(.*)» » http://example.com:8080/elsewhere?$1″ http://example.com:8080/elsewhere ; [P] ProxyPassReverse /here/ http://example.com:8080/ http://example.com:8080/

Turvalisusega mitte seotud muudatuste hulgas:

• Rotatelogs utiliidile on lisatud lipp „-T“, mis võimaldab logide rotatsiooni ajal kärbida järgnevaid logifailide ilma algset logifaili kärpimata.
• Mod_ldap'is on lubatud määrata LDAPConnectionPoolTTL direktiivis negatiivseid väärtusi, et seadistada vanade ühenduste uuesti kasutamist.
• Mod_md moodulis, mis on mõeldud sertifikaatide automaatse hankimise ja hooldamise automatiseerimiseks ACME (Automatic Certificate Management Environment) protokolli kaudu, on libressl 3.5.0+ versiooniga koostamisel lubatud ED25519 digitaalse allkirja skeemi tugi ja sertifikaatide avaliku logi teabe (CT, Certificate Transparency) arvestamine. MDChallengeDns01 direktiivis on lubatud määrata seadeid afzonderite domeenide jaoks.
• Mod_proxy_uwsgi's on täiendatud HTTP-tagaplaani vastuste kontrollimist ja töötlemist.

Allikas: opennet.ru