Avaldatud on Apache 2.4.53 HTTP-serveri väljalase, mis sisaldab 19 muudatust ja parandab 8 haavatavust:
- CVE-2022-31813 on mod_proxy haavatavus, mis võimaldab blokeerida X-Forwarded-* päiste saatmise, mis sisaldab teavet IP-aadressi kohta, millelt algne päring tuli. Probleemi saab kasutada IP-aadressil põhinevate juurdepääsupiirangute ületamiseks.
- CVE-2022-30556 on mod_lua haavatavus, mis võimaldab juurdepääsu andmetele väljaspool eraldatud puhvrit Lua skriptides funktsiooni r:wsread() manipuleerimise kaudu.
- CVE-2022-30522 – teenuse keelamine (saadaoleva mälu ammendumine) teatud andmete töötlemisel mooduli mod_sed poolt.
- CVE-2022-29404 on mod_lua teenuse keelamine, mida kasutatakse spetsiaalselt koostatud päringute saatmisega Lua töötlejatele, kasutades kõnet r:parsebody(0).
- CVE-2022-28615, CVE-2022-28614 – Teenuse keelamine või juurdepääsu keelamine protsessimälus olevatele andmetele funktsioonide ap_strcmp_match() ja ap_rwrite() vigade tõttu, mille tulemuseks on lugemine puhvri piirist väljaspool asuvast alast.
- CVE-2022-28330 – teabeleke mod_isapi piirivälistest puhveraladest (probleem esineb ainult Windowsi platvormil).
- CVE-2022-26377 – moodul mod_proxy_ajp on vastuvõtlik HTTP-päringute smuugeldamise rünnakutele frontend-backend süsteemides, mis võimaldab tal smuugeldada end teiste kasutajate päringute sisusse, mida töödeldakse samas lõimes esi- ja taustaprogrammi vahel.
Kõige olulisemad turvalisusega mitteseotud muudatused on järgmised:
- mod_ssl muudab SSLFIPS-režiimi ühilduvaks OpenSSL 3.0-ga.
- Ab-utiliit toetab TLSv1.3 (nõuab linkimist seda protokolli toetava SSL-teegiga).
- Mod_md-s lubab MDCertificateAuthority direktiiv rohkem kui ühte CA nime ja URL-i. Lisatud on uued juhised: MDRetryDelay (määratleb viivituse enne korduskatse päringu saatmist) ja MDRetryFailover (määratleb korduskatsete arvu ebaõnnestumise korral enne alternatiivse sertifitseerimisasutuse valimist). Lisatud on oleku "automaatne" tugi väärtuste väljastamisel vormingus "võti: väärtus". Tagas võimaluse hallata Tailscale turvalise VPN-võrgu kasutajate sertifikaate.
- Moodul mod_http2 on puhastatud kasutamata ja ebaturvalisest koodist.
- mod_proxy tagab, et taustavõrgu porti kajastuvad logisse kirjutatud veateated.
- Funktsioonis mod_heartmonitor on parameetri HeartbeatMaxServers väärtus muudetud 0-lt 10-le (initsialiseerib 10 jagatud mälupesa).
Allikas: opennet.ru