અપાચે 2.4.54 HTTP સર્વરનું પ્રકાશન નબળાઈઓ નિશ્ચિત સાથે

Apache HTTP સર્વર 2.4.53 રિલીઝ કરવામાં આવ્યું છે, જેમાં 19 ફેરફારો રજૂ કરવામાં આવ્યા છે અને 8 નબળાઈઓને દૂર કરવામાં આવી છે:

• CVE-2022-31813 એ mod_proxy માં એક નબળાઈ છે જે તમને X-Forwarded-* હેડરોને જે IP એડ્રેસ પરથી મૂળ વિનંતી કરવામાં આવી હતી તે વિશેની માહિતી સાથે મોકલવામાં અવરોધિત કરવાની મંજૂરી આપે છે. IP એડ્રેસના આધારે એક્સેસ પ્રતિબંધોને બાયપાસ કરવા માટે સમસ્યાનો ઉપયોગ કરી શકાય છે.
• CVE-2022-30556 એ mod_lua માં એક નબળાઈ છે જે લુઆ સ્ક્રિપ્ટ્સમાં r:wsread() ફંક્શનની હેરફેર દ્વારા ફાળવેલ બફરની બહારના ડેટાને ઍક્સેસ કરવાની મંજૂરી આપે છે.
• CVE-2022-30522 – mod_sed મોડ્યુલ દ્વારા અમુક ડેટા પર પ્રક્રિયા કરતી વખતે સેવાનો ઇનકાર (ઉપલબ્ધ મેમરી એક્ઝોશન).
• CVE-2022-29404 એ r:parsebody(0) કૉલનો ઉપયોગ કરીને લુઆ હેન્ડલર્સને ખાસ તૈયાર કરેલી વિનંતીઓ મોકલીને mod_lua માં સેવાનો ઇનકાર છે.
• CVE-2022-28615, CVE-2022-28614 – ap_strcmp_match() અને ap_rwrite() ફંક્શન્સમાં ભૂલોને કારણે સેવાનો ઇનકાર અથવા પ્રક્રિયા મેમરીમાં ડેટાની ઍક્સેસ, બફર બાઉન્ડ્રીની બહારના વિસ્તારમાંથી વાંચવામાં પરિણમે છે.
• CVE-2022-28330 - mod_isapi માં સીમાની બહારના બફર વિસ્તારોમાંથી માહિતી લિકેજ (સમસ્યા ફક્ત Windows પ્લેટફોર્મ પર જ થાય છે).
• CVE-2022-26377 – mod_proxy_ajp મોડ્યુલ ફ્રન્ટએન્ડ-બેકએન્ડ સિસ્ટમ્સ પર HTTP વિનંતીની દાણચોરીના હુમલા માટે સંવેદનશીલ છે, જે તેને ફ્રન્ટએન્ડ અને બેકએન્ડ વચ્ચે સમાન થ્રેડમાં પ્રક્રિયા કરાયેલ અન્ય વપરાશકર્તાઓની વિનંતીઓની સામગ્રીમાં પોતાને દાણચોરી કરવાની મંજૂરી આપે છે.

સૌથી નોંધપાત્ર બિન-સુરક્ષા ફેરફારો છે:

• mod_ssl SSL FIPS મોડને OpenSSL 3.0 સાથે સુસંગત બનાવે છે.
• ab ઉપયોગિતા TLSv1.3 ને સપોર્ટ કરે છે (આ પ્રોટોકોલને સપોર્ટ કરતી SSL લાઇબ્રેરી સાથે લિંક કરવાની જરૂર છે).
• mod_md માં, MDCertificateAuthority ડાયરેક્ટિવ એક કરતાં વધુ CA નામ અને URL ને મંજૂરી આપે છે. નવા નિર્દેશો ઉમેરવામાં આવ્યા છે: MDRetryDelay (ફરી પ્રયાસની વિનંતી મોકલતા પહેલા વિલંબને વ્યાખ્યાયિત કરે છે) અને MDRetryFailover (વૈકલ્પિક પ્રમાણપત્ર સત્તા પસંદ કરતા પહેલા નિષ્ફળતાના કિસ્સામાં પુનઃપ્રયાસોની સંખ્યા વ્યાખ્યાયિત કરે છે). "કી: મૂલ્ય" ફોર્મેટમાં મૂલ્યો આઉટપુટ કરતી વખતે "ઓટો" સ્થિતિ માટે સમર્થન ઉમેર્યું. ટેલ્સસ્કેલ સુરક્ષિત VPN નેટવર્કના વપરાશકર્તાઓ માટે પ્રમાણપત્રોનું સંચાલન કરવાની ક્ષમતા પ્રદાન કરી.
• mod_http2 મોડ્યુલ ન વપરાયેલ અને અસુરક્ષિત કોડથી સાફ કરવામાં આવ્યું છે.
• mod_proxy ખાતરી કરે છે કે બેકએન્ડ નેટવર્ક પોર્ટ લોગ પર લખેલા ભૂલ સંદેશાઓમાં પ્રતિબિંબિત થાય છે.
• mod_heartmonitor માં, HeartbeatMaxServers પેરામીટરની કિંમત 0 થી 10 સુધી બદલાઈ ગઈ છે (10 શેર કરેલ મેમરી સ્લોટ શરૂ કરીને).

સોર્સ: opennet.ru