Publicouse a versión de Apache HTTP Server 2.4.53, que introduce 14 cambios e soluciona 4 vulnerabilidades:
- CVE-2022-22720 - a posibilidade de realizar un ataque de contrabando de solicitudes HTTP, que permite, mediante o envío de solicitudes de clientes especialmente deseñadas, meterse no contido das solicitudes doutros usuarios transmitidas a través de mod_proxy (por exemplo, pódese conseguir a substitución de solicitudes maliciosas). código JavaScript na sesión doutro usuario do sitio). O problema é causado por deixar abertas as conexións entrantes despois de atopar erros ao procesar un corpo de solicitude non válido.
- CVE-2022-23943: un desbordamento do búfer no módulo mod_sed que permite sobrescribir o contido da memoria do montón con datos controlados polo atacante.
- CVE-2022-22721 - Escritura fóra dos límites debido a un desbordamento de enteiros que se produce ao pasar un corpo de solicitude de máis de 350 MB. O problema maniféstase en sistemas de 32 bits na configuración dos cales o valor LimitXMLRequestBody é demasiado alto (por defecto 1 MB, para un ataque o límite debe ser superior a 350 MB).
- CVE-2022-22719 é unha vulnerabilidade en mod_lua que permite ler áreas de memoria aleatorias e bloquear o proceso ao procesar un corpo de solicitude especialmente elaborado. O problema é causado polo uso de valores non inicializados no código da función r:parsebody.
Os cambios non relacionados coa seguridade máis salientables son:
- En mod_proxy, aumentouse o límite do número de caracteres no nome do xestor (traballador). Engadiuse a posibilidade de configurar de forma selectiva os tempos de espera para o backend e o frontend (por exemplo, en relación cun traballador). Para as solicitudes enviadas a través de websockets ou o método CONNECT, o tempo de espera cambiouse ao valor máximo establecido para o backend e o frontend.
- Xestión separada de abrir ficheiros DBM e cargar o controlador de DBM. En caso de accidente, o rexistro agora mostra información máis detallada sobre o erro e o controlador.
- mod_md deixou de procesar solicitudes a /.well-known/acme-challenge/ a non ser que a configuración do dominio permitise explícitamente o uso do tipo de desafío "http-01".
- mod_dav corrixiu unha regresión que provocaba un alto consumo de memoria ao procesar unha gran cantidade de recursos.
- Engadida a capacidade de usar a biblioteca pcre2 (10.x) en lugar de pcre (8.x) para procesar expresións regulares.
- Engadiuse compatibilidade coa análise de anomalías LDAP aos filtros de consulta para filtrar correctamente os datos cando se intentan ataques de substitución de LDAP.
- En mpm_event, solucionouse un bloqueo que se produce ao reiniciar ou superar o límite MaxConnectionsPerChild en sistemas con alta carga.
Fonte: opennet.ru