È stata pubblicata la versione del server HTTP Apache 2.4.53, che presenta 19 modifiche e risolve 8 vulnerabilità:
- CVE-2022-31813 — vulnerabilità in mod_proxy che consente di bloccare l'invio delle intestazioni X-Forwarded-* con informazioni sull'indirizzo IP da cui proviene la richiesta originale. Il problema può essere sfruttato per eludere le restrizioni all'accesso basate sugli indirizzi IP.
- CVE-2022-30556 — vulnerabilità in mod_lua che consente l'accesso a dati esterni al buffer allocato tramite manipolazioni della funzione r:wsread() negli script Lua.
- CVE-2022-30522 — denial of service (esaurimento della memoria disponibile) durante l'elaborazione di determinati dati da parte del modulo mod_sed.
- CVE-2022-29404 — denial of service in mod_lua, sfruttato attraverso l'invio di richieste formattate in modo speciale ai gestori Lua che utilizzano la chiamata r:parsebody(0).
- CVE-2022-28615, CVE-2022-28614 — denial of service o accesso ai dati nella memoria del processo a causa di errori nelle funzioni ap_strcmp_match() e ap_rwrite(), che portano alla lettura al di fuori dei confini del buffer.
- CVE-2022-28330 — fuga di informazioni da aree al di fuori dei confini del buffer in mod_isapi (il problema si manifesta solo sulla piattaforma Windows).
- CVE-2022-26377 — il modulo mod_proxy_ajp è vulnerabile ad attacchi di tipo "HTTP Request Smuggling" su sistemi frontend-backend, che consentono di infiltrarsi nel contenuto delle richieste di altri utenti elaborate nello stesso thread tra frontend e backend.
Le modifiche più significative non correlate alla sicurezza:
- In mod_ssl è stata garantita la compatibilità della modalità SSLFIPS con OpenSSL 3.0.
- Nell'utilità ab è stato implementato il supporto TLSv1.3 (richiesta integrazione con SSL-una libreria che supporta questo protocollo).
- In mod_md, nella direttiva MDCertificateAuthority è consentito l'uso di più nomi e URL di autorità di certificazione. Sono state aggiunte nuove direttive: MDRetryDelay (definisce il ritardo prima dell'invio di una richiesta ripetuta) e MDRetryFailover (definisce il numero di tentativi in caso di fallimento prima di scegliere un'autorità di certificazione alternativa). È stato aggiunto il supporto per lo stato "auto" durante l'emissione di valori nel formato "chiave: valore". È stata fornita la possibilità di gestire i certificati per gli utenti di una rete protetta VPN-Tailscale.
- È stata effettuata una pulizia del modulo mod_http2 da codice non utilizzato e non sicuro.
- In mod_proxy è stata garantita la riflessione della porta di rete del backend nei messaggi di errore registrati nel log.
- In mod_heartmonitor il valore del parametro HeartbeatMaxServers è stato modificato da 0 a 10 (inizializzazione di 10 slot di memoria condivisa).
Fonte: opennet.ru
