{"id":103543,"date":"2022-03-15T09:37:16","date_gmt":"2022-03-15T07:37:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/reliz-http-servera-apache-2-4-53-s-ustraneniem-opasnyh-uyazvimostej"},"modified":"2022-03-15T09:37:16","modified_gmt":"2022-03-15T07:37:16","slug":"reliz-http-servera-apache-2-4-53-s-ustraneniem-opasnyh-uyazvimostej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/news\/reliz-http-servera-apache-2-4-53-s-ustraneniem-opasnyh-uyazvimostej","title":{"rendered":"Az Apache 2.4.53 http-szerver kiad\u00e1sa egy sor kritikus sebezhet\u0151s\u00e9g megsz\u00fcntet\u00e9s\u00e9vel","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Megjelent az Apache HTTP-szerver 2.4.53 verzi\u00f3ja, amely 14 m\u00f3dos\u00edt\u00e1st tartalmaz, \u00e9s 4 sebezhet\u0151s\u00e9get orvosolt: <\/p>\n
\n
CVE-2022-22720 \u2014 lehet\u0151s\u00e9g HTTP Request Smuggling t\u00e1mad\u00e1s v\u00e9grehajt\u00e1s\u00e1ra, amely lehet\u0151v\u00e9 teszi, hogy a felhaszn\u00e1l\u00f3 \u00e1ltal k\u00e9sz\u00edtett k\u00fcl\u00f6nleges kialak\u00edt\u00e1s\u00fa k\u00e9r\u00e9sek besziv\u00e1rogjanak m\u00e1s felhaszn\u00e1l\u00f3k \u00e1ltal mod_proxy-n kereszt\u00fcl k\u00fcld\u00f6tt k\u00e9r\u00e9sek tartalm\u00e1ba (p\u00e9ld\u00e1ul k\u00e1rt\u00e9kony JavaScript-k\u00f3d beilleszt\u00e9s\u00e9vel egy m\u00e1sik felhaszn\u00e1l\u00f3 webhely\u00e9nek session-j\u00e1ba). A probl\u00e9ma azt eredm\u00e9nyezi, hogy a bej\u00f6v\u0151 kapcsolatok nyitva maradnak, miut\u00e1n hib\u00e1k l\u00e9pnek fel a hib\u00e1s k\u00e9r\u00e9s test\u00e9nek feldolgoz\u00e1sa sor\u00e1n.\n
CVE-2022-23943 \u2014 puffer t\u00falcsordul\u00e1s a mod_sed modulban, amely lehet\u0151v\u00e9 teszi a mem\u00f3riahalom tartalm\u00e1nak fel\u00fcl\u00edr\u00e1s\u00e1t a t\u00e1mad\u00f3 \u00e1ltal ir\u00e1ny\u00edtott adatokkal.\n
CVE-2022-22721 \u2014 puffer t\u00fall\u00e9p\u00e9s lehet\u0151s\u00e9ge eg\u00e9sz \u010d\u00eds\u0171 t\u00falcsordul\u00e1s miatt, amely akkor fordul el\u0151, amikor a k\u00e9r\u00e9s test\u00e9nek m\u00e9rete meghaladja a 350 MB-t. A probl\u00e9ma 32 bites rendszereken jelentkezik, ahol a LimitXMLRequestBody be\u00e1ll\u00edt\u00e1sa t\u00fal magas \u00e9rt\u00e9kre van \u00e1ll\u00edtva (alap\u00e9rtelmezetten 1 MB, a t\u00e1mad\u00e1shoz az \u00e9rt\u00e9knek 350 MB felettinek kell lennie).\n
CVE-2022-22719 \u2014 sebezhet\u0151s\u00e9g a mod_lua modulban, amely lehet\u0151v\u00e9 teszi v\u00e9letlenszer\u0171 mem\u00f3ria ter\u00fcletek olvas\u00e1s\u00e1t \u00e9s a folyamat \u00f6sszeoml\u00e1s\u00e1t egy speci\u00e1lisan kialak\u00edtott k\u00e9r\u00e9s test\u00e9nek feldolgoz\u00e1sa sor\u00e1n. A probl\u00e9ma nem inicializ\u00e1lt \u00e9rt\u00e9kek haszn\u00e1lat\u00e1b\u00f3l ad\u00f3dik az r:parsebody f\u00fcggv\u00e9ny k\u00f3dj\u00e1ban. <\/ul>\n
A legszembet\u0171n\u0151bb nem biztons\u00e1gi jelleg\u0171 v\u00e1ltoz\u00e1sok: <\/p>\n
\n
A mod_proxyban megemelt\u00e9k a feldolgoz\u00f3 (worker) nev\u00e9ben megengedett karakterek sz\u00e1m\u00e1nak korl\u00e1tj\u00e1t. Lehet\u0151s\u00e9g van a h\u00e1tt\u00e9r- \u00e9s frontend id\u0151korl\u00e1tok egyedi be\u00e1ll\u00edt\u00e1s\u00e1ra (p\u00e9ld\u00e1ul a worker-hez k\u00f6t\u0151d\u0151en). A websoketeken vagy a CONNECT m\u00f3dszeren kereszt\u00fcl tov\u00e1bb\u00edtott k\u00e9r\u00e9sek eset\u00e9ben a timeout id\u0151tartama a h\u00e1tt\u00e9r \u00e9s frontend \u00e1ltal be\u00e1ll\u00edtott maxim\u00e1lis \u00e9rt\u00e9kre lett m\u00f3dos\u00edtva.\n
A DBM f\u00e1jlok megnyit\u00e1s\u00e1nak \u00e9s a DBM meghajt\u00f3 bet\u00f6lt\u00e9s\u00e9nek feldolgoz\u00e1sa elk\u00fcl\u00f6n\u00edtve t\u00f6rt\u00e9nik. Hiba eset\u00e9n a napl\u00f3ban r\u00e9szletesebb inform\u00e1ci\u00f3k jelennek meg a hib\u00e1r\u00f3l \u00e9s a meghajt\u00f3r\u00f3l.\n