Megjelent az Apache HTTP szerver 2.4.56 kiadása, amely 6 változtatást vezet be és 2 biztonsági rést szüntet meg a front-end-back-end rendszereken végrehajtott „HTTP Request Smuggling” támadásokhoz kapcsolódóan, lehetővé téve a beékelődést a más felhasználók kéréseinek tartalma, amelyeket ugyanabban a szálban dolgoznak fel a frontend és a háttérrendszer között. A támadás felhasználható a hozzáférést korlátozó rendszerek megkerülésére, vagy rosszindulatú JavaScript kód beillesztésére egy legitim webhely munkamenetébe.
Az első biztonsági rés (CVE-2023-27522) a mod_proxy_uwsgi modult érinti, és lehetővé teszi a válasz két részre osztását a proxy oldalon a backend által visszaadott HTTP-fejlécben található speciális karakterek helyettesítésével.
A második biztonsági rés (CVE-2023-25690) a mod_proxy fájlban található, és akkor fordul elő, amikor bizonyos kérések átírási szabályokat használnak a mod_rewrite modul által biztosított RewriteRule direktíva vagy a ProxyPassMatch direktíva bizonyos mintái segítségével. A biztonsági rés proxyn keresztüli kéréshez vezethet olyan belső erőforrásokra vonatkozóan, amelyekhez proxyn keresztül nem lehet hozzáférni, vagy a gyorsítótár tartalmának megmérgezéséhez vezethet. A sebezhetőség megnyilvánulásához szükséges, hogy a kérés átírási szabályai az URL-ből származó adatokat használják fel, amelyeket aztán behelyettesítenek a továbbküldött kérelembe. Például: RewriteEngine on RewriteRule “^/here/(.*)” » http://example.com:8080/elsewhere?$1″ http://example.com:8080/elsewhere ; [P] ProxyPassReverse /itt/ http://example.com:8080/ http://example.com:8080/
A nem biztonsági változtatások közül:
- A „-T” jelző hozzáadásra került a rotatelogs segédprogramhoz, amely lehetővé teszi a naplók forgatásakor a következő naplófájlok csonkolását a kezdeti naplófájl csonkolása nélkül.
- A mod_ldap lehetővé teszi az LDAPConnectionPoolTTL direktíva negatív értékeit a régi kapcsolatok újrafelhasználásának konfigurálásához.
- A mod_md modul, amelyet a tanúsítványok fogadásának és karbantartásának automatizálására használnak az ACME (Automatic Certificate Management Environment) protokoll használatával, a libressl 3.5.0+ verzióval fordítva, támogatja az ED25519 digitális aláírási sémát és a nyilvános tanúsítványnapló-információk (CT) elszámolását. , Tanúsítvány átláthatósága). Az MDChallengeDns01 direktíva lehetővé teszi az egyes tartományok beállításainak meghatározását.
- A mod_proxy_uwsgi megszigorította a HTTP-háttérrendszerekből érkező válaszok ellenőrzését és elemzését.
Forrás: opennet.ru