अपाचे 2.4.54 http सर्वर कमजोरियों के साथ जारी किया गया

Apache 2.4.53 HTTP सर्वर रिलीज़ प्रकाशित किया गया है, जो 19 परिवर्तन प्रस्तुत करता है और 8 कमजोरियों को ठीक करता है:

• CVE-2022-31813 mod_proxy में एक भेद्यता है जो आपको उस आईपी पते के बारे में जानकारी के साथ X-Forwarded-* हेडर भेजने से रोकने की अनुमति देता है जहां से मूल अनुरोध आया था। समस्या का उपयोग आईपी पते के आधार पर पहुंच प्रतिबंधों को बायपास करने के लिए किया जा सकता है।
• CVE-2022-30556 mod_lua में एक भेद्यता है जो Lua स्क्रिप्ट में r:wsread() फ़ंक्शन के हेरफेर के माध्यम से आवंटित बफर के बाहर डेटा तक पहुंच की अनुमति देता है।
• सीवीई-2022-30522 - mod_sed मॉड्यूल द्वारा कुछ डेटा संसाधित करते समय सेवा से इनकार (उपलब्ध मेमोरी थकावट)।
• CVE-2022-29404 mod_lua में सेवा से इनकार है जिसका उपयोग r:parsebody(0) कॉल का उपयोग करके लुआ हैंडलर्स को विशेष रूप से तैयार किए गए अनुरोध भेजकर किया जाता है।
• सीवीई-2022-28615, सीवीई-2022-28614 - ap_strcmp_match() और ap_rwrite() फ़ंक्शंस में त्रुटियों के कारण प्रक्रिया मेमोरी में सेवा या डेटा तक पहुंच से इनकार, जिसके परिणामस्वरूप बफर सीमा से परे एक क्षेत्र से पढ़ा जाता है।
• सीवीई-2022-28330 - mod_isapi में आउट-ऑफ-बाउंड बफर क्षेत्रों से सूचना रिसाव (समस्या केवल विंडोज प्लेटफॉर्म पर होती है)।
• सीवीई-2022-26377 - mod_proxy_ajp मॉड्यूल फ्रंटएंड-बैकएंड सिस्टम पर HTTP अनुरोध तस्करी हमलों के लिए अतिसंवेदनशील है, जो इसे फ्रंटएंड और बैकएंड के बीच एक ही थ्रेड में संसाधित अन्य उपयोगकर्ताओं के अनुरोधों की सामग्री में खुद को तस्करी करने की अनुमति देता है।

सबसे उल्लेखनीय गैर-सुरक्षा परिवर्तन हैं:

• mod_ssl SSLFIPS मोड को OpenSSL 3.0 के साथ संगत बनाता है।
• एबी उपयोगिता TLSv1.3 का समर्थन करती है (इस प्रोटोकॉल का समर्थन करने वाली SSL लाइब्रेरी से लिंक करने की आवश्यकता है)।
• Mod_md में, MDCertificateAuthority निर्देश एक से अधिक CA नाम और URL की अनुमति देता है। नए निर्देश जोड़े गए हैं: MDRetryDelay (पुनः प्रयास अनुरोध भेजने से पहले देरी को परिभाषित करता है) और MDRetryFairover (वैकल्पिक प्रमाणन प्राधिकरण चुनने से पहले विफलता के मामले में पुनर्प्रयास की संख्या को परिभाषित करता है)। "कुंजी: मान" प्रारूप में मान आउटपुट करते समय "ऑटो" स्थिति के लिए समर्थन जोड़ा गया। टेलस्केल सुरक्षित वीपीएन नेटवर्क के उपयोगकर्ताओं के लिए प्रमाणपत्र प्रबंधित करने की क्षमता प्रदान की गई।
• Mod_http2 मॉड्यूल को अप्रयुक्त और असुरक्षित कोड से साफ़ कर दिया गया है।
• mod_proxy यह सुनिश्चित करता है कि बैकएंड नेटवर्क पोर्ट लॉग में लिखे गए त्रुटि संदेशों में प्रतिबिंबित हो।
• Mod_heartmonitor में, हार्टबीटमैक्ससर्वर पैरामीटर का मान 0 से 10 (10 साझा मेमोरी स्लॉट प्रारंभ करना) में बदल दिया गया है।

स्रोत: opennet.ru