अपाचे 2.4.56 http सर्वर कमजोरियों के साथ जारी किया गया

अपाचे HTTP सर्वर 2.4.56 की रिलीज़ प्रकाशित की गई है, जो 6 बदलाव पेश करता है और फ्रंट-एंड-बैक-एंड सिस्टम पर "HTTP रिक्वेस्ट स्मगलिंग" हमलों को अंजाम देने की संभावना से जुड़ी 2 कमजोरियों को समाप्त करता है, जिससे इसमें सेंध लगाने की अनुमति मिलती है। अन्य उपयोगकर्ताओं के अनुरोधों की सामग्री को फ्रंटएंड और बैकएंड के बीच एक ही थ्रेड में संसाधित किया जाता है। हमले का उपयोग पहुंच प्रतिबंध प्रणालियों को बायपास करने या किसी वैध वेबसाइट के सत्र में दुर्भावनापूर्ण जावास्क्रिप्ट कोड डालने के लिए किया जा सकता है।

पहली भेद्यता (CVE-2023-27522) mod_proxy_uwsgi मॉड्यूल को प्रभावित करती है और बैकएंड द्वारा लौटाए गए HTTP हेडर में विशेष वर्णों के प्रतिस्थापन के माध्यम से प्रतिक्रिया को प्रॉक्सी पक्ष पर दो भागों में विभाजित करने की अनुमति देती है।

दूसरी भेद्यता (CVE-2023-25690) mod_proxy में मौजूद है और तब होती है जब mod_rewrite मॉड्यूल द्वारा प्रदान किए गए RewriteRule निर्देश या ProxyPassMatch निर्देश में कुछ पैटर्न का उपयोग करके कुछ अनुरोध पुनर्लेखन नियमों का उपयोग किया जाता है। भेद्यता के कारण प्रॉक्सी के माध्यम से उन आंतरिक संसाधनों के लिए अनुरोध हो सकता है जिन्हें प्रॉक्सी के माध्यम से एक्सेस करने की अनुमति नहीं है, या कैश सामग्री में विषाक्तता हो सकती है। भेद्यता प्रकट होने के लिए, यह आवश्यक है कि अनुरोध पुनर्लेखन नियम यूआरएल से डेटा का उपयोग करें, जिसे बाद में भेजे गए अनुरोध में प्रतिस्थापित किया जाता है। उदाहरण के लिए: RewriteRule पर RewriteEngine “^/here/(.*)” » http://example.com:8080/elsewhere?$1″ http://example.com:8080/elsewhere ; [पी] प्रॉक्सीपासरिवर्स /यहां/ http://example.com:8080/ http://example.com:8080/

गैर-सुरक्षा परिवर्तनों में से:

• रोटेटलॉग्स उपयोगिता में "-T" ध्वज जोड़ा गया है, जो लॉग को घुमाते समय, प्रारंभिक लॉग फ़ाइल को काटे बिना बाद की लॉग फ़ाइलों को छोटा करने की अनुमति देता है।
• mod_ldap किसी भी पुराने कनेक्शन के पुन: उपयोग को कॉन्फ़िगर करने के लिए LDAPConnectionPoolTTL निर्देश में नकारात्मक मानों की अनुमति देता है।
• Mod_md मॉड्यूल, जिसका उपयोग ACME (स्वचालित प्रमाणपत्र प्रबंधन पर्यावरण) प्रोटोकॉल का उपयोग करके प्रमाणपत्रों की प्राप्ति और रखरखाव को स्वचालित करने के लिए किया जाता है, जब लाइब्रेसल 3.5.0+ के साथ संकलित किया जाता है, तो इसमें ED25519 डिजिटल हस्ताक्षर योजना के लिए समर्थन और सार्वजनिक प्रमाणपत्र लॉग जानकारी (CT) के लिए लेखांकन शामिल होता है। , प्रमाणपत्र पारदर्शिता)। MDChallengeDns01 निर्देश व्यक्तिगत डोमेन के लिए सेटिंग्स की परिभाषा की अनुमति देता है।
• mod_proxy_uwsgi ने HTTP बैकएंड से प्रतिक्रियाओं की जाँच और पार्सिंग को कड़ा कर दिया है।

स्रोत: opennet.ru