Հրապարակվել է Apache 2.4.56 HTTP սերվերի թողարկումը, որը ներկայացնում է 6 փոփոխություն և շտկում 2 խոցելիություն՝ կապված «Front-end-backend» համակարգերի վրա HTTP Request մաքսանենգության հարձակումներ իրականացնելու հնարավորության հետ, որոնք թույլ են տալիս մեզ խորացնել այլ օգտվողների հարցումների բովանդակությունը: վերամշակված նույն թեմայում ճակատի և հետնամասի միջև: Հարձակումը կարող է օգտագործվել մուտքի վերահսկման համակարգերը շրջանցելու կամ լեգիտիմ կայք ունեցող սեսիայի մեջ վնասակար JavaScript կոդը ներարկելու համար:
Առաջին խոցելիությունը (CVE-2023-27522) ազդում է mod_proxy_uwsgi մոդուլի վրա և թույլ է տալիս վստահված անձին բաժանել պատասխանը երկու մասի՝ փոխարինելով հատուկ նիշերը HTTP վերնագրում, որը վերադարձվում է backend-ի կողմից:
Երկրորդ խոցելիությունը (CVE-2023-25690) առկա է mod_proxy-ում և դրսևորվում է, երբ դիմումի վերագրանցման որոշ կանոններ օգտագործվում են՝ օգտագործելով mod_rewrite մոդուլի կողմից տրամադրված RewriteRule հրահանգը կամ ProxyPassMatch հրահանգի որոշ օրինաչափություններ: Խոցելիությունը կարող է հանգեցնել նրան, որ վստահված անձը պահանջի ներքին ռեսուրսներ, որոնք հասանելի չեն պրոքսիի միջոցով, կամ թունավորի քեշի բովանդակությունը: Որպեսզի խոցելիությունը դրսևորվի, անհրաժեշտ է, որ URL-ից ստացված տվյալները օգտագործվեն հարցման վերաշարադրման կանոններում, որոնք այնուհետև փոխարինվեն հետագա ուղարկված հարցումով: Օրինակ՝ RewriteEngine on RewriteRule «^/here/(.*)» » http://example.com:8080/elsewhere?$1″ http://example.com:8080/elsewhere ; [P] ProxyPassReverse /այստեղ/ http://example.com:8080/ http://example.com:8080/
Ոչ անվտանգության փոփոխությունները ներառում են.
- «-T» դրոշը ավելացվել է rotatelogs կոմունալ ծրագրին, որը թույլ է տալիս մատյանները պտտելիս կրճատել հաջորդ տեղեկամատյան ֆայլերը՝ առանց նախնական տեղեկամատյանի ֆայլը կտրելու:
- Mod_ldap-ը թույլ է տալիս բացասական արժեքներ LDAPConnectionPoolTTL հրահանգում կարգավորել ցանկացած հին կապի վերօգտագործումը:
- mod_md մոդուլում, որն օգտագործվում է վկայագրերի ստացումն ու սպասարկումը ավտոմատացնելու համար՝ օգտագործելով ACME (Automatic Certificate Management Environment) արձանագրությունը, երբ կառուցված է libressl 3.5.0+, թվային ստորագրության ED25519 սխեմայի աջակցություն և տեղեկատվության հաշվառում հանրային մատյանում։ վկայագրերը (CT, Certificate Transparency) ներառված են: MDChallengeDns01 հրահանգը թույլ է տալիս սահմանել կարգավորումներ առանձին տիրույթների համար:
- mod_proxy_uwsgi-ն խստացրել է HTTP հետնամասերից պատասխանների ստուգումն ու վերլուծությունը:
Source: opennet.ru