Publicouse o lanzamento do servidor HTTP Apache 2.4.56, que introduce 6 cambios e elimina 2 vulnerabilidades asociadas á posibilidade de realizar ataques de "contrabando de solicitudes HTTP" en sistemas front-end-back-end, permitindo encaixarse no contidos das solicitudes doutros usuarios procesados no mesmo fío entre o frontend e o backend. O ataque pódese usar para evitar sistemas de restrición de acceso ou inserir código JavaScript malicioso nunha sesión cun sitio web lexítimo.
A primeira vulnerabilidade (CVE-2023-27522) afecta ao módulo mod_proxy_uwsgi e permite dividir a resposta en dúas partes no lado do proxy mediante a substitución de caracteres especiais na cabeceira HTTP que devolve o backend.
A segunda vulnerabilidade (CVE-2023-25690) está presente en mod_proxy e prodúcese cando se usan determinadas regras de reescritura de solicitudes mediante a directiva RewriteRule proporcionada polo módulo mod_rewrite ou certos patróns na directiva ProxyPassMatch. A vulnerabilidade pode levar a unha solicitude a través dun proxy de recursos internos aos que non se permite acceder a través dun proxy ou a envelenamento do contido da caché. Para que se manifeste a vulnerabilidade, é necesario que as regras de reescritura da solicitude usen datos do URL, que se substitúen despois na solicitude que se envía posteriormente. Por exemplo: RewriteEngine en RewriteRule “^/aquí/(.*)” » http://example.com:8080/elsewhere?$1″ http://example.com:8080/elsewhere ; [P] ProxyPassReverse /aquí/ http://example.com:8080/ http://example.com:8080/
Entre os cambios non relacionados coa seguridade:
- A marca "-T" engadiuse á utilidade rotatelogs, que permite, ao xirar os rexistros, truncar os ficheiros de rexistro posteriores sen truncar o ficheiro de rexistro inicial.
- mod_ldap permite valores negativos na directiva LDAPConnectionPoolTTL para configurar a reutilización de conexións antigas.
- O módulo mod_md, usado para automatizar a recepción e mantemento de certificados mediante o protocolo ACME (Automatic Certificate Management Environment), cando se compila con libressl 3.5.0+, inclúe soporte para o esquema de sinatura dixital ED25519 e a contabilización da información de rexistro de certificados públicos (CT). , Certificado de transparencia). A directiva MDChallengeDns01 permite a definición de configuracións para dominios individuais.
- mod_proxy_uwsgi reforzou a comprobación e análise das respostas dos backends HTTP.
Fonte: opennet.ru