Kiadták az Apache HTTP 2.4.53 verzióját, amely 19 változást tartalmaz és 8 sebezhetőséget javít:
- CVE-2022-31813 — sebezhetőség a mod_proxy-ban, amely lehetővé teszi az X-Forwarded-* fejléc küldésének blokkolását az eredeti kérés IP-címével. A probléma kihasználható az IP-címek szerinti hozzáférési korlátozások megkerülésére.
- CVE-2022-30556 — sebezhetőség a mod_lua-ban, amely lehetővé teszi adatokhoz való hozzáférést a kijelölt puffer határain kívül a r:wsread() Lua-funkció manipulálásával.
- CVE-2022-30522 — szolgáltatásmegtagadási támadás (elérhető memória kimerítése) érintett adatok feldolgozása során a mod_sed modulban.
- CVE-2022-29404 — szolgáltatásmegtagadás a mod_lua-ban, amely kiaknázható speciálisan formázott kérések küldésével Lua-kezelőknek, amelyek az r:parsebody(0) hívást használják.
- CVE-2022-28615, CVE-2022-28614 — szolgáltatásmegtagadás vagy adatokhoz való hozzáférés a folyamat memóriájában a ap_strcmp_match() és ap_rwrite() hibás működése miatt, amelyek a puffer határain kívüli olvasáshoz vezetnek.
- CVE-2022-28330 — információszivárgás a puffer határain kívül a mod_isapi-ban (a probléma csak Windows platformon jelentkezik).
- CVE-2022-26377 — a mod_proxy_ajp modul sebezhető az olyan HTTP-kérlek csempésző támadásokkal szemben, amelyek lehetővé teszik a tartalom beékelődését más felhasználók kérdéseibe, amelyek ugyanabban a szálban kezelődnek a frontend és a backend között.
A legszembetűnőbb nem biztonsági jellegű változások:
- A mod_ssl biztosítja az SSLFIPS üzemmód OpenSSL 3.0-val való kompatibilitását.
- Az ab segédprogramnál megvalósították a TLSv1.3 támogatását (szükséges a kapcsolódás a SSL- könyvtárhoz, amely támogatja ezt a protokollt).
- A mod_md-ben a MDCertificateAuthority irányelv lehetővé teszi több név és URL használatát a tanúsítványhatósághoz. Új irányelvek kerültek bevezetésre: MDRetryDelay (meghatározza a késleltetést egy újraküldés előtt) és MDRetryFailover (meghatározza a sikertelen újrapróbálkozások számát, mielőtt alternatív bizonytalanhatóságot választanak). Az 'auto' állapot támogatása is hozzáadva került az 'key: value' formátumban történő értékek kiírásakor. Lehetőséget biztosít a tanúsítványok kezelésére védett VPN- Tailscale hálózaton belül.
- A mod_http2 modul megtisztítása a nem használt és nem biztonságos kódoktól.
- A mod_proxy biztosítja a háttérport tükrözését a naplózott hibajelzésekben.
- A mod_heartmonitor HeartbeatMaxServers paraméterének értéke 0-ról 10-re változott (10 megosztott memóriahely inicializálása).
Forrás: opennet.ru
