Apache HTTP сервері 2.4.53 шығарылды, ол 19 өзгерту енгізіп, 8 осалдықты жойды:
- CVE-2022-31813 - mod_proxy жүйесіндегі осалдық, ол X-Forwarded-* тақырыптарын бастапқы сұрау келген IP мекенжайы туралы ақпаратпен жіберуді блоктауға мүмкіндік береді. Мәселе IP мекенжайларына негізделген кіру шектеулерін айналып өту үшін пайдаланылуы мүмкін.
- CVE-2022-30556 — Lua сценарийлеріндегі r:wsread() функциясын өңдеу арқылы бөлінген буферден тыс деректерге қол жеткізуге мүмкіндік беретін mod_lua жүйесіндегі осалдық.
- CVE-2022-30522 – mod_sed модулі арқылы белгілі бір деректерді өңдеу кезінде қызмет көрсетуден бас тарту (қол жетімді жадтың таусылуы).
- CVE-2022-29404 — r:parsebody(0) қоңырауы арқылы Lua өңдеушілеріне арнайы жасалған сұрауларды жіберу арқылы пайдаланылған mod_lua жүйесінде қызмет көрсетуден бас тарту.
- CVE-2022-28615, CVE-2022-28614 – ap_strcmp_match() және ap_rwrite() функцияларындағы қателерге байланысты қызмет көрсетуден немесе процесс жадындағы деректерге қол жеткізуден бас тарту, нәтижесінде буфер шекарасынан тыс аумақтан оқу.
- CVE-2022-28330 - mod_isapi ішіндегі шектен тыс буфер аумақтарынан ақпараттың ағуы (мәселе тек Windows платформасында орын алады).
- CVE-2022-26377 – mod_proxy_ajp модулі алдыңғы серверлік жүйелердегі HTTP сұрауының контрабандалық шабуылдарына сезімтал, бұл оған фронт пен сервер арасындағы бірдей ағында өңделген басқа пайдаланушылардың сұрауларының мазмұнына жасырын өтуге мүмкіндік береді.
Қауіпсіздікке жатпайтын ең маңызды өзгерістер:
- mod_ssl SSLFIPS режимін OpenSSL 3.0-мен үйлесімді етеді.
- ab утилитасы TLSv1.3 нұсқасын қолдайды (осы протоколды қолдайтын SSL кітапханасымен байланыстыруды қажет етеді).
- mod_md ішінде MDCertificateAuthority директивасы бірнеше CA атауы мен URL мекенжайына рұқсат береді. Жаңа директивалар қосылды: MDRetryDelay (қайталау сұрауын жіберуге дейінгі кідірісті анықтайды) және MDRetryFailover (баламалы сертификаттау орталығын таңдау алдында сәтсіздікке ұшыраған жағдайда қайталау әрекеттерінің санын анықтайды). Мәндерді «кілт: мән» пішімінде шығару кезінде «автоматты» күйге қолдау қосылды. Tailscale қауіпсіз VPN желісінің пайдаланушылары үшін сертификаттарды басқару мүмкіндігі берілген.
- mod_http2 модулі пайдаланылмаған және қауіпті кодтан тазартылды.
- mod_proxy серверлік желі портының журналға жазылған қате туралы хабарларда көрсетілетінін қамтамасыз етеді.
- mod_heartmonitor ішінде HeartbeatMaxServers параметрінің мәні 0-ден 10-ға дейін өзгертілді (10 ортақ жад ұяшығын инициализациялау).
Ақпарат көзі: opennet.ru