Apache 2.4.53 HTTP સર્વર રીલીઝ ખતરનાક નબળાઈઓ સાથે નિશ્ચિત

Apache HTTP સર્વર 2.4.53 નું પ્રકાશન પ્રકાશિત કરવામાં આવ્યું છે, જે 14 ફેરફારો રજૂ કરે છે અને 4 નબળાઈઓને સુધારે છે:

• CVE-2022-22720 - HTTP વિનંતીની દાણચોરીનો હુમલો કરવાની સંભાવના, જે ખાસ ડિઝાઇન કરેલી ક્લાયંટ વિનંતીઓ મોકલીને, mod_proxy દ્વારા પ્રસારિત અન્ય વપરાશકર્તાઓની વિનંતીઓની સામગ્રીમાં ફાચર કરવાની મંજૂરી આપે છે (ઉદાહરણ તરીકે, તમે દૂષિત અવેજી પ્રાપ્ત કરી શકો છો. સાઇટના અન્ય વપરાશકર્તાના સત્રમાં JavaScript કોડ). અમાન્ય વિનંતીના મુખ્ય ભાગ પર પ્રક્રિયા કરતી વખતે ભૂલો આવ્યા પછી ખુલ્લા ઇનકમિંગ કનેક્શન્સ છોડવાને કારણે સમસ્યા ઊભી થાય છે.
• CVE-2022-23943 - mod_sed મોડ્યુલમાં બફર ઓવરફ્લો જે હુમલાખોર-નિયંત્રિત ડેટા સાથે હીપ મેમરીના સમાવિષ્ટોને ઓવરરાઇટ કરવાની મંજૂરી આપે છે.
• CVE-2022-22721 - પૂર્ણાંક ઓવરફ્લોને કારણે બાઉન્ડ્સની બહાર લખો જે 350MB કરતાં મોટી રિક્વેસ્ટ બોડી પસાર કરતી વખતે થાય છે. સમસ્યા 32-બીટ સિસ્ટમ્સ પર પોતાને પ્રગટ કરે છે જેની સેટિંગ્સમાં LimitXMLRequestBody મૂલ્ય ખૂબ ઊંચું સેટ કરેલું છે (ડિફૉલ્ટ રૂપે 1 MB, હુમલા માટે મર્યાદા 350 MB કરતાં વધુ હોવી જોઈએ).
• CVE-2022-22719 એ mod_lua માં એક નબળાઈ છે જે રેન્ડમ મેમરી વિસ્તારોને વાંચવાની અને ખાસ ક્રાફ્ટ કરેલી વિનંતી બોડી પર પ્રક્રિયા કરતી વખતે પ્રક્રિયાને ક્રેશ કરવાની મંજૂરી આપે છે. આ સમસ્યા r:parsebody ફંક્શન કોડમાં અપ્રારંભિક મૂલ્યોના ઉપયોગને કારણે થાય છે.

સૌથી નોંધપાત્ર બિન-સુરક્ષા ફેરફારો છે:

• mod_proxy માં, હેન્ડલર (કાર્યકર) ના નામમાં અક્ષરોની સંખ્યાની મર્યાદા વધારવામાં આવી છે. બેકએન્ડ અને ફ્રન્ટએન્ડ (ઉદાહરણ તરીકે, કાર્યકરના સંબંધમાં) માટે પસંદગીયુક્ત રીતે સમયસમાપ્તિ ગોઠવવાની ક્ષમતા ઉમેરાઈ. વેબસોકેટ્સ અથવા કનેક્ટ પદ્ધતિ દ્વારા મોકલવામાં આવેલી વિનંતીઓ માટે, સમયસમાપ્તિ બેકએન્ડ અને ફ્રન્ટએન્ડ માટે સેટ કરેલ મહત્તમ મૂલ્યમાં બદલવામાં આવી છે.
• DBM ફાઇલો ખોલવાની અને DBM ​​ડ્રાઇવરને લોડ કરવાની અલગ હેન્ડલિંગ. ક્રેશની ઘટનામાં, લોગ હવે ભૂલ અને ડ્રાઇવર વિશે વધુ વિગતવાર માહિતી દર્શાવે છે.
• mod_md એ /.well-known/acme-challenge/ ને વિનંતીઓ પર પ્રક્રિયા કરવાનું બંધ કર્યું સિવાય કે ડોમેન સેટિંગ્સ 'http-01' પડકાર પ્રકારનો ઉપયોગ સ્પષ્ટપણે સક્ષમ કરે.
• mod_dav એ રીગ્રેસનને ઠીક કરે છે જે મોટી સંખ્યામાં સંસાધનોની પ્રક્રિયા કરતી વખતે ઉચ્ચ મેમરી વપરાશનું કારણ બને છે.
• નિયમિત અભિવ્યક્તિઓ પર પ્રક્રિયા કરવા માટે pcre (2.x) ને બદલે pcre10 (8.x) લાઇબ્રેરીનો ઉપયોગ કરવાની ક્ષમતા ઉમેરાઈ.
• LDAP અવેજી હુમલાનો પ્રયાસ કરતી વખતે ડેટાને યોગ્ય રીતે સ્ક્રીન કરવા માટે ક્વેરી ફિલ્ટર્સમાં LDAP વિસંગતતા વિશ્લેષણ માટેનો આધાર ઉમેરવામાં આવ્યો છે.
• mpm_event માં, અતિશય લોડ થયેલ સિસ્ટમો પર MaxConnectionsPerChild મર્યાદાને પુનઃપ્રારંભ કરતી વખતે અથવા ઓળંગતી વખતે સર્જાતી ડેડલોકને ઠીક કરવામાં આવી છે.

સોર્સ: opennet.ru