Objavljen je Apache HTTP poslužitelj 2.4.53 koji uvodi 19 promjena i uklanja 8 ranjivosti:
- CVE-2022-31813 je ranjivost u mod_proxy koja vam omogućuje da blokirate slanje X-Forwarded-* zaglavlja s informacijama o IP adresi s koje je originalni zahtjev došao. Problem se može koristiti za zaobilaženje ograničenja pristupa na temelju IP adresa.
- CVE-2022-30556 je ranjivost u mod_lua koja dopušta pristup podacima izvan dodijeljenog međuspremnika kroz manipulaciju funkcije r:wsread() u Lua skriptama.
- CVE-2022-30522 – Uskraćivanje usluge (iskorištenje raspoložive memorije) prilikom obrade određenih podataka modulom mod_sed.
- CVE-2022-29404 je uskraćivanje usluge u mod_lua iskorišteno slanjem posebno izrađenih zahtjeva Lua rukovateljima pomoću poziva r:parsebody(0).
- CVE-2022-28615, CVE-2022-28614 – Uskraćivanje usluge ili pristupa podacima u memoriji procesa zbog pogrešaka u funkcijama ap_strcmp_match() i ap_rwrite(), što rezultira čitanjem iz područja izvan granice međuspremnika.
- CVE-2022-28330 - Curenje informacija izvan granica u mod_isapi (problem utječe samo na platformu) Windows).
- CVE-2022-26377 – Modul mod_proxy_ajp osjetljiv je na napade HTTP Request Smuggling na frontend-backend sustave, što mu omogućuje da se prokrijumčari u sadržaje zahtjeva drugih korisnika koji se obrađuju u istoj niti između frontend-a i backend-a.
Najznačajnije nesigurnosne promjene:
- mod_ssl čini način SSLFIPS kompatibilnim s OpenSSL 3.0.
- Uslužni program ab implementirao je podršku za TLSv1.3 (zahtijeva povezivanje s SSL- biblioteka koja podržava ovaj protokol).
- U mod_md, direktiva MDCertificateAuthority sada dopušta korištenje više od jednog CA naziva i URL-a. Dodane su nove direktive: MDRetryDelay (definira odgodu prije ponovnog slanja zahtjeva) i MDRetryFailover (definira broj ponovnih pokušaja u slučaju neuspjeha prije odabira alternativnog CA). Dodana je podrška za stanje "automatski" pri ispisu vrijednosti u formatu "ključ:vrijednost". Omogućeno je upravljanje certifikatima za korisnike zaštićenog VPN- Mreže s ograničenom razinom prikaza.
- Modul mod_http2 je očišćen od neiskorištenog i nesigurnog koda.
- mod_proxy osigurava da se pozadinski mrežni port odražava u porukama o pogrešci zapisanim u zapisnik.
- U mod_heartmonitoru vrijednost parametra HeartbeatMaxServers promijenjena je s 0 na 10 (inicijaliziranje 10 zajedničkih memorijskih utora).
Izvor: opennet.ru
