Ua hoʻokuʻu ʻia ka Apache HTTP server 2.4.53, e hoʻolauna ana i nā hoʻololi 19 a me ka hoʻopau ʻana i nā nāwaliwali 8:
- ʻO CVE-2022-31813 kahi mea palupalu i mod_proxy e hiki ai iā ʻoe ke pale i ka hoʻouna ʻana i nā poʻomanaʻo X-Forwarded-* me ka ʻike e pili ana i ka IP address i hele mai ai ka noi kumu. Hiki ke hoʻohana ʻia ka pilikia no ka pale ʻana i nā kaohi ʻana e pili ana i nā helu IP.
- ʻO CVE-2022-30556 he mea palupalu i mod_lua e hiki ai ke komo i ka ʻikepili ma waho o ka pale i hāʻawi ʻia ma o ka hoʻohana ʻana i ka hana r:wsread() ma nā palapala Lua.
- CVE-2022-30522 - Hōʻole i ka lawelawe (loaʻa ka pau ʻana o ka hoʻomanaʻo) i ka wā e hana ai i kekahi mau ʻikepili e ka mod_sed module.
- ʻO CVE-2022-29404 ka hōʻole ʻana i ka lawelawe ma mod_lua i hoʻohana ʻia ma ka hoʻouna ʻana i nā noi i hana kūikawā ʻia i nā mea hoʻohana ʻo Lua me ka hoʻohana ʻana i ke kelepona r:parsebody(0).
- CVE-2022-28615, CVE-2022-28614 - Hōʻole i ka lawelawe a i ʻole ke komo ʻana i ka ʻikepili i ke kaʻina hana hoʻomanaʻo ma muli o nā hewa i loko o nā hana ap_strcmp_match () a me ap_rwrite (), ka hopena o ka heluhelu ʻana mai kahi wahi ma waho o ka palena paʻa.
- CVE-2022-28330 - Ka lele ʻana o ka ʻike mai nā wahi hoʻopaʻa waho o nā palena i mod_isapi (hiki wale ka pilikia ma ka paepae Windows).
- CVE-2022-26377 – He mea maʻalahi ka mod_proxy_ajp module i ka HTTP Request Smuggling attacks ma nā ʻōnaehana frontend-backend, e hiki ai iā ia ke hoʻopanee iā ia iho i loko o nā mea o nā noi o nā mea hoʻohana ʻē aʻe i hana ʻia ma ka pae like ma waena o ka frontend a me ka hope.
ʻO nā hoʻololi palekana ʻole i kaulana loa:
- Hoʻopili ʻo mod_ssl i ke ʻano SSLFIPS me OpenSSL 3.0.
- Kākoʻo ka ʻoihana ab i ka TLSv1.3 (koi i ka loulou me kahi waihona SSL e kākoʻo ana i kēia protocol).
- Ma mod_md, hiki i ke kuhikuhi MDCertificateAuthority ke ʻoi aku ma mua o hoʻokahi inoa CA a me URL. Ua hoʻohui ʻia nā kuhikuhi hou: MDRetryDelay (wehewehe i ka lohi ma mua o ka hoʻouna ʻana i kahi noi hoʻāʻo hou) a me MDRetryFailover (wehewehe i ka helu o ka hoʻāʻo hou ʻana inā ʻaʻole hiki ke koho i kahi mana hōʻoia ʻē aʻe). Hoʻohui ʻia ke kākoʻo no ka mokuʻāina "auto" i ka wā e hoʻopuka ana i nā waiwai ma ke ʻano "key: value". Hāʻawi ʻia ka hiki ke hoʻokele i nā palapala hōʻoia no nā mea hoʻohana o ka pūnaewele VPN palekana ʻo Tailscale.
- Ua hoʻomaʻemaʻe ʻia ka mod_http2 module i hoʻohana ʻole ʻia a palekana ʻole.
- Mod_proxy e hōʻoia i ka hōʻike ʻana o ke awa pūnaewele hope i nā memo hewa i kākau ʻia i ka log.
- Ma mod_heartmonitor, ua hoʻololi ʻia ke kumukūʻai o ka ʻokoʻa HeartbeatMaxServers mai 0 a i 10 (hoʻomaka ʻana i 10 mau ʻāpana hoʻomanaʻo like).
Source: opennet.ru