{"id":103543,"date":"2022-03-15T09:37:16","date_gmt":"2022-03-15T07:37:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/reliz-http-servera-apache-2-4-53-s-ustraneniem-opasnyh-uyazvimostej"},"modified":"2022-03-15T09:37:16","modified_gmt":"2022-03-15T07:37:16","slug":"reliz-http-servera-apache-2-4-53-s-ustraneniem-opasnyh-uyazvimostej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/novosti-interneta\/reliz-http-servera-apache-2-4-53-s-ustraneniem-opasnyh-uyazvimostej","title":{"rendered":"Apache http-serveri 2.4.53 v\u00e4ljaanne, mis k\u00f5rvaldab ohtlikud haavatavused","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Avalikustatud on HTTP-serveri Apache 2.4.53 v\u00e4ljaanne, mis sisaldab 14 muudatust ja 4 haavatavuse parandust: <\/p>\n
\n
CVE-2022-22720 — HTTP Request Smuggling r\u00fcnnaku teostamise v\u00f5imalus, mille kaudu saab saata spetsiaalselt vormistatud kliendip\u00e4ringute kaudu teiste kasutajate p\u00e4ringute sisu seadmesse mod_proxy, v\u00f5imaldades n\u00e4iteks pahatahtliku JavaScripti koodi sisestamist teise kasutaja seanssi. Probleem tuleneb sisse tulevate \u00fchenduste avatuks j\u00e4tmisest, kui t\u00f6\u00f6tlemisel tekivad vead vale p\u00e4ringu keha t\u00f5ttu.\n
CVE-2022-22721 — puhvri piiridest v\u00e4ljapoole kirjutamise v\u00f5imalus, mis tuleneb t\u00e4isarvu \u00fclet\u00e4itumisest, mis tekib rohkem kui 350 MB suuruse p\u00e4ringu keha edastamisel. Probleem ilmneb 32-bitistes s\u00fcsteemides, kus on seadistatud liiga suur v\u00e4\u00e4rtus LimitXMLRequestBody (vaikimisi 1 MB, r\u00fcnnaku jaoks peab limiit olema suurem kui 350 MB).\n
CVE-2022-22719 — haavatavus mod_lua-s, mis v\u00f5imaldab lugeda juhuslikke m\u00e4lu piirkondi ja protsessi kokku kukkumist spetsiaalselt kujundatud p\u00e4ringu keha t\u00f6\u00f6tlemisel. Probleem tuleneb initsialiseerimata v\u00e4\u00e4rtuste kasutamisest funktsiooni r:parsebody koodis. <\/ul>\n
K\u00f5ige m\u00e4rgatavamad muudatused, mis ei ole seotud turvalisuse t\u00f5stmisega: <\/p>\n
\n
mod_proxy's on suurendatud t\u00f6\u00f6tleja (worker) nime s\u00fcmbolite arvu piiri. Lisatud on v\u00f5imalus kohandada taustu ja esipaneeli jaoks erinevaid v\u00e4ljaandeid (nt olenemata t\u00f6\u00f6tlejast). Websocketide v\u00f5i CONNECT meetodi kaudu edastatud p\u00e4ringute jaoks on timeout aeg muudetud maksimumtasemele, mis on m\u00e4\u00e4ratud taustale ja esipaneelile.\n
DBM-failide avamise ja DBM-draiveri laadimise t\u00f6\u00f6tlemine on eraldatud. Vea korral logis kuvatakse n\u00fc\u00fcd \u00fcksikasjalikumad teated vea ja draiveri kohta.\n