È stato pubblicato il rilascio del server HTTP Apache 2.4.56, che presenta 6 modifiche e risolve 2 vulnerabilità relative alla possibilità di attacchi di tipo «HTTP Request Smuggling» su sistemi frontend-backend, consentendo l'intercettazione dei contenuti delle richieste di altri utenti elaborate nella stessa connessione tra frontend e backend. L'attacco può essere utilizzato per eludere i sistemi di accesso o per l'inserimento di codice JavaScript malevolo in una sessione con un sito legittimo.
La prima vulnerabilità (CVE-2023-27522) interessa il modulo mod_proxy_uwsgi e consente, dal lato proxy, di suddividere la risposta in due parti attraverso l'inserimento di simboli speciali nell'intestazione HTTP restituita dal backend.
La seconda vulnerabilità (CVE-2023-25690) è presente in mod_proxy e si manifesta durante l'uso di determinate regole di riscrittura delle richieste tramite la direttiva RewriteRule fornita dal modulo mod_rewrite, o in modelli specifici nella direttiva ProxyPassMatch. La vulnerabilità può portare a richieste proxy di risorse interne, l'accesso alle quali è vietato tramite proxy, o alla contaminazione del contenuto della cache. Per manifestare la vulnerabilità, è necessario che nelle regole di riscrittura della richiesta vengano utilizzati dati dall'URL, che vengono quindi inseriti nella richiesta successivamente inviata. Ad esempio: RewriteEngine on RewriteRule "^\/here\/(.*)" " http:\/\/example.com:8080\/elsewhere?$1" http:\/\/example.com:8080\/elsewhere ; [P] ProxyPassReverse \/here\/ http:\/\/example.com:8080\/ http:\/\/example.com:8080\/
Tra le modifiche non correlate alla sicurezza:
- A rotatelogs è stato aggiunto il flag "-T", che consente, durante la rotazione dei log, di troncare i log successivi senza troncare il log iniziale.
- In mod_ldap è stato consentito di specificare valori negativi nella direttiva LDAPConnectionPoolTTL per la configurazione del riutilizzo di eventuali connessioni obsolete.
- Nel modulo mod_md, utilizzato per automatizzare l'acquisizione e la gestione dei certificati tramite il protocollo ACME (Automatic Certificate Management Environment), nella compilazione con libressl 3.5.0+ è stata inclusa la supporto per lo schema di firma digitale ED25519 e per la registrazione delle informazioni del registro pubblico dei certificati (CT, Certificate Transparency). Nella direttiva MDChallengeDns01 è stata consentita la definizione delle configurazioni per domini specifici.
- In mod_proxy_uwsgi è stata inasprita la verifica e l'analisi delle risposte dagli backend HTTP.
Fonte: opennet.ru
