Apache 2.4.56 http სერვერის გამოშვება მოწყვლადობით დაფიქსირებული

გამოქვეყნდა Apache HTTP სერვერის 2.4.56 გამოშვება, რომელიც შემოაქვს 6 ცვლილებას და აღმოფხვრის 2 დაუცველობას, რომლებიც დაკავშირებულია წინა-ბოლო-უკანა სისტემებზე „HTTP მოთხოვნის კონტრაბანდის“ შეტევების განხორციელების შესაძლებლობასთან. სხვა მომხმარებელთა მოთხოვნების შინაარსი დამუშავებული იმავე ძაფში, წინა და ბექენდს შორის. შეტევა შეიძლება გამოყენებულ იქნას წვდომის შეზღუდვის სისტემების გვერდის ავლით ან მავნე JavaScript კოდის ჩასასმელად ლეგიტიმურ ვებსაიტზე სესიაში.

პირველი დაუცველობა (CVE-2023-27522) გავლენას ახდენს mod_proxy_uwsgi მოდულზე და საშუალებას აძლევს პასუხი გაიყოს ორ ნაწილად პროქსის მხარეს, სპეციალური სიმბოლოების ჩანაცვლებით HTTP სათაურში, რომელიც დაბრუნებულია backend-ის მიერ.

მეორე დაუცველობა (CVE-2023-25690) არის mod_proxy-ში და ჩნდება მოთხოვნის გადაწერის გარკვეული წესების გამოყენებისას RewriteRule დირექტივის გამოყენებით, რომელიც მოწოდებულია mod_rewrite მოდულით ან გარკვეული შაბლონებით ProxyPassMatch დირექტივაში. დაუცველობამ შეიძლება გამოიწვიოს მოთხოვნა პროქსის მეშვეობით შიდა რესურსებზე, რომლებზეც წვდომა არ არის დაშვებული პროქსის მეშვეობით, ან ქეშის შიგთავსის მოწამვლა. იმისთვის, რომ დაუცველობა გამოვლინდეს, აუცილებელია, რომ მოთხოვნის გადაწერის წესები გამოიყენოს მონაცემები URL-დან, რომელიც შემდეგ შეიცვლება შემდგომში გაგზავნილ მოთხოვნაში. მაგალითად: RewriteEngine on RewriteRule “^/here/(.*)” » http://example.com:8080/elsewhere?$1″ http://example.com:8080/elsewhere ; [P] ProxyPassReverse /აქ/ http://example.com:8080/ http://example.com:8080/

არაუსაფრთხო ცვლილებებს შორის:

• „-T“ დროშა დაემატა rotatelogs უტილიტას, რომელიც საშუალებას იძლევა, ჟურნალების როტაციისას, მოახდინოთ შემდგომი ჟურნალის ფაილების შეკვეცა საწყისი ჟურნალის ფაილის შეკვეცის გარეშე.
• mod_ldap საშუალებას აძლევს უარყოფით მნიშვნელობებს LDAPConnectionPoolTTL დირექტივაში ნებისმიერი ძველი კავშირის ხელახალი გამოყენების კონფიგურაციისთვის.
• mod_md მოდული, რომელიც გამოიყენება სერთიფიკატების მიღებისა და შენარჩუნების ავტომატიზაციისთვის ACME (Automatic Certificate Management Environment) პროტოკოლის გამოყენებით, როდესაც შედგენილია libressl 3.5.0+-ით, მოიცავს ED25519 ციფრული ხელმოწერის სქემის მხარდაჭერას და საჯარო სერტიფიკატების ჟურნალის ინფორმაციის აღრიცხვას (CT). , სერტიფიკატის გამჭვირვალობა). MDChallengeDns01 დირექტივა საშუალებას გაძლევთ განსაზღვროთ პარამეტრები ცალკეული დომენებისთვის.
• mod_proxy_uwsgi-მ გაამკაცრა HTTP სარეზერვო სისტემის პასუხების შემოწმება და ანალიზი.

წყარო: opennet.ru