Apache 2.4.53 HTTP netþjónsútgáfa hefur verið gefin út, sem kynnir 19 breytingar og lagar 8 veikleika:
- CVE-2022-31813 er varnarleysi í mod_proxy sem getur hindrað sendingu X-Forwarded-* hausa með upplýsingum um IP töluna sem upprunalega beiðnin kom frá. Vandamálið er hægt að nota til að komast framhjá aðgangstakmörkunum byggðar á IP tölum.
- CVE-2022-30556 er varnarleysi í mod_lua sem leyfir aðgang að gögnum utan úthlutaðs biðminni með aðgerðum með r:wsread() aðgerðinni í Lua forskriftum.
- CVE-2022-30522 - Afneitun á þjónustu (út af tiltæku minni) meðan unnið er með ákveðin gögn með mod_sed.
- CVE-2022-29404 - mod_lua afneitun á þjónustu nýtt með því að senda sérstaklega útbúnar beiðnir til Lua meðhöndlunar með því að nota r:parsebody(0) kallið.
- CVE-2022-28615, CVE-2022-28614 - Neitun á þjónustu eða aðgang að gögnum í vinnsluminni vegna villna í ap_strcmp_match() og ap_rwrite() aðgerðum, sem leiðir til lestrar frá svæði utan biðminni.
- CVE-2022-28330 - Upplýsingaleki utan marka í mod_isapi (vandamál birtist aðeins á Windows palli).
- CVE-2022-26377 - mod_proxy_ajp einingin er næm fyrir „HTTP Request Smuggling“ árásum á framenda-bakendakerfi sem gera kleift að fleygja innihald beiðna annarra notenda sem unnið er með í sama þræði milli framenda og bakenda. -inn.
Merkustu breytingarnar sem ekki tengjast öryggi eru:
- mod_ssl gerir SSLFIPS ham samhæfan við OpenSSL 3.0.
- Ab tólið útfærir stuðning fyrir TLSv1.3 (krefst bindingu við SSL bókasafn sem styður þessa samskiptareglur).
- Í mod_md leyfir MDCertificateAuthority tilskipunin fleiri en eitt CA nafn og vefslóð. Nýjum tilskipunum bætt við: MDRetryDelay (skilgreinir seinkunina áður en beiðni um endurreynslu er send) og MDRetryFailover (skilgreinir fjölda endurtilrauna ef bilun verður áður en valið er annað CA). Bætti við stuðningi við „sjálfvirkt“ ástandið þegar gildi eru sýnd á „lykill: gildi“ sniðinu. Veitt getu til að stjórna vottorðum fyrir Tailscale örugga VPN notendur.
- Mod_http2 einingin hefur verið hreinsuð af ónotuðum og óöruggum kóða.
- mod_proxy veitir endurspeglun á bakenda netgáttinni í villuboðum sem eru skrifuð í annálinn.
- Í mod_heartmonitor hefur gildi HeartbeatMaxServers færibreytunnar verið breytt úr 0 í 10 (uppsetning 10 sameiginlegra minnisraufa).
Heimild: opennet.ru