अपाचे 2.4.53 http सर्वर रिलीज़ खतरनाक कमजोरियों के साथ

अपाचे HTTP सर्वर 2.4.53 की रिलीज़ प्रकाशित की गई है, जो 14 परिवर्तन प्रस्तुत करता है और 4 कमजोरियों को ठीक करता है:

• सीवीई-2022-22720 - एक HTTP रिक्वेस्ट स्मगलिंग अटैक करने की संभावना, जो विशेष रूप से डिज़ाइन किए गए क्लाइंट अनुरोधों को भेजकर, mod_proxy के माध्यम से प्रेषित अन्य उपयोगकर्ताओं के अनुरोधों की सामग्री में सेंध लगाने की अनुमति देता है (उदाहरण के लिए, आप दुर्भावनापूर्ण के प्रतिस्थापन को प्राप्त कर सकते हैं) साइट के किसी अन्य उपयोगकर्ता के सत्र में जावास्क्रिप्ट कोड)। समस्या अमान्य अनुरोध निकाय को संसाधित करते समय त्रुटियों का सामना करने के बाद आने वाले कनेक्शन को खुला छोड़ने के कारण होती है।
• सीवीई-2022-23943 - mod_sed मॉड्यूल में एक बफर ओवरफ्लो जो हमलावर-नियंत्रित डेटा के साथ ढेर मेमोरी की सामग्री को ओवरराइट करने की अनुमति देता है।
• सीवीई-2022-22721 - एक पूर्णांक अतिप्रवाह के कारण सीमा बफ़र से बाहर लिखें जो 350 एमबी से बड़े अनुरोध निकाय को पास करते समय होता है। समस्या 32-बिट सिस्टम पर ही प्रकट होती है, जिसकी सेटिंग्स में LimitXMLRequestBody मान बहुत अधिक सेट किया गया है (डिफ़ॉल्ट रूप से 1 एमबी, किसी हमले के लिए सीमा 350 एमबी से अधिक होनी चाहिए)।
• CVE-2022-22719 mod_lua में एक भेद्यता है जो यादृच्छिक मेमोरी क्षेत्रों को पढ़ने और विशेष रूप से तैयार किए गए अनुरोध निकाय को संसाधित करते समय प्रक्रिया को क्रैश करने की अनुमति देता है। समस्या r:parsebody फ़ंक्शन कोड में अप्रारंभीकृत मानों के उपयोग के कारण होती है।

सबसे उल्लेखनीय गैर-सुरक्षा परिवर्तन हैं:

• Mod_proxy में हैंडलर (कर्मचारी) के नाम में वर्णों की संख्या की सीमा बढ़ा दी गई है। बैकएंड और फ्रंटएंड के लिए चुनिंदा टाइमआउट कॉन्फ़िगर करने की क्षमता जोड़ी गई (उदाहरण के लिए, किसी कार्यकर्ता के संबंध में)। वेबसॉकेट या कनेक्ट विधि के माध्यम से भेजे गए अनुरोधों के लिए, टाइमआउट को बैकएंड और फ्रंटएंड के लिए निर्धारित अधिकतम मान में बदल दिया गया है।
• DBM फ़ाइलें खोलने और DBM ड्राइवर लोड करने का अलग-अलग प्रबंधन। दुर्घटना की स्थिति में, लॉग अब त्रुटि और ड्राइवर के बारे में अधिक विस्तृत जानकारी प्रदर्शित करता है।
• mod_md ने /.well-known/acme-challenge/ के अनुरोधों को संसाधित करना बंद कर दिया जब तक कि डोमेन सेटिंग्स ने स्पष्ट रूप से 'http-01' चुनौती प्रकार के उपयोग को सक्षम नहीं किया।
• mod_dav ने एक प्रतिगमन को ठीक किया जिसके कारण बड़ी संख्या में संसाधनों को संसाधित करते समय उच्च मेमोरी खपत होती थी।
• नियमित अभिव्यक्तियों को संसाधित करने के लिए pcre (2.x) के बजाय pcre10 (8.x) लाइब्रेरी का उपयोग करने की क्षमता जोड़ी गई।
• एलडीएपी प्रतिस्थापन हमलों का प्रयास करते समय डेटा को सही ढंग से स्क्रीन करने के लिए क्वेरी फ़िल्टर में एलडीएपी विसंगति विश्लेषण के लिए समर्थन जोड़ा गया है।
• Mpm_event में, अत्यधिक लोड किए गए सिस्टम पर MaxConnectionsPerChild सीमा को पुनरारंभ करने या पार करने पर होने वाले गतिरोध को ठीक कर दिया गया है।

स्रोत: opennet.ru