Rilis server http Apache 2.4.56 dengan kerentanan diperbaiki

Rilis server HTTP Apache 2.4.56 telah dipublikasikan, yang memperkenalkan 6 perubahan dan menghilangkan 2 kerentanan yang terkait dengan kemungkinan melakukan serangan "Penyelundupan Permintaan HTTP" pada sistem front-end-back-end, memungkinkan untuk masuk ke dalam sistem isi permintaan pengguna lain diproses di thread yang sama antara frontend dan backend. Serangan tersebut dapat digunakan untuk melewati sistem pembatasan akses atau memasukkan kode JavaScript berbahaya ke dalam sesi dengan situs web yang sah.

Kerentanan pertama (CVE-2023-27522) memengaruhi modul mod_proxy_uwsgi dan memungkinkan respons dipecah menjadi dua bagian di sisi proxy melalui substitusi karakter khusus di header HTTP yang dikembalikan oleh backend.

Kerentanan kedua (CVE-2023-25690) ada di mod_proxy dan terjadi saat menggunakan aturan penulisan ulang permintaan tertentu menggunakan arahan RewriteRule yang disediakan oleh modul mod_rewrite atau pola tertentu dalam arahan ProxyPassMatch. Kerentanan dapat menyebabkan permintaan melalui proxy untuk sumber daya internal yang tidak boleh diakses melalui proxy, atau meracuni konten cache. Agar kerentanan terwujud, aturan penulisan ulang permintaan perlu menggunakan data dari URL, yang kemudian diganti dengan permintaan yang dikirim lebih lanjut. Misalnya: RewriteEngine di RewriteRule “^/here/(.*)” » http://example.com:8080/elsewhere?$1″ http://example.com:8080/elsewhere ; [P] ProxyPassReverse /di sini/ http://example.com:8080/ http://example.com:8080/

Di antara perubahan non-keamanan:

• Bendera “-T” telah ditambahkan ke utilitas rotasilogs, yang memungkinkan, ketika memutar log, untuk memotong file log berikutnya tanpa memotong file log awal.
• mod_ldap mengizinkan nilai negatif dalam direktif LDAPConnectionPoolTTL untuk mengonfigurasi penggunaan kembali koneksi lama.
• Modul mod_md, yang digunakan untuk mengotomatisasi penerimaan dan pemeliharaan sertifikat menggunakan protokol ACME (Automatic Certificate Management Environment), ketika dikompilasi dengan libressl 3.5.0+, mencakup dukungan untuk skema tanda tangan digital ED25519 dan akuntansi untuk informasi log sertifikat publik (CT , Transparansi Sertifikat). Arahan MDChallengeDns01 memungkinkan definisi pengaturan untuk masing-masing domain.
• mod_proxy_uwsgi telah memperketat pemeriksaan dan penguraian respons dari backend HTTP.

Sumber: opennet.ru