ការចេញផ្សាយម៉ាស៊ីនមេ Apache 2.4.56 http ជាមួយនឹងភាពងាយរងគ្រោះត្រូវបានជួសជុល

ការចេញផ្សាយម៉ាស៊ីនមេ Apache HTTP 2.4.56 ត្រូវបានចេញផ្សាយ ដែលណែនាំការផ្លាស់ប្តូរចំនួន 6 និងលុបបំបាត់ភាពងាយរងគ្រោះចំនួន 2 ដែលទាក់ទងនឹងលទ្ធភាពនៃការវាយប្រហារ “HTTP Request Smuggling” លើប្រព័ន្ធ front-end-back-end ដែលអនុញ្ញាតឱ្យចូលទៅខាងក្នុង។ ខ្លឹមសារនៃសំណើរបស់អ្នកប្រើប្រាស់ផ្សេងទៀតបានដំណើរការនៅក្នុងខ្សែស្រឡាយដូចគ្នារវាងផ្នែកខាងមុខ និងផ្នែកខាងក្រោយ។ ការវាយប្រហារអាចត្រូវបានប្រើដើម្បីរំលងប្រព័ន្ធរឹតបន្តឹងការចូលប្រើ ឬបញ្ចូលកូដ JavaScript អាក្រក់ទៅក្នុងវគ្គជាមួយគេហទំព័រស្របច្បាប់។

ភាពងាយរងគ្រោះទីមួយ (CVE-2023-27522) ប៉ះពាល់ដល់ម៉ូឌុល mod_proxy_uwsgi និងអនុញ្ញាតឱ្យការឆ្លើយតបត្រូវបានបំបែកជាពីរផ្នែកនៅផ្នែកប្រូកស៊ីតាមរយៈការជំនួសតួអក្សរពិសេសនៅក្នុងបឋមកថា HTTP ដែលត្រឡប់ដោយផ្នែកខាងក្រោយ។

ភាពងាយរងគ្រោះទីពីរ (CVE-2023-25690) មានវត្តមាននៅក្នុង mod_proxy ហើយកើតឡើងនៅពេលប្រើច្បាប់សរសេរឡើងវិញសំណើជាក់លាក់ដោយប្រើការណែនាំ RewriteRule ដែលផ្តល់ដោយម៉ូឌុល mod_rewrite ឬលំនាំជាក់លាក់នៅក្នុងការណែនាំ ProxyPassMatch ។ ភាពងាយរងគ្រោះអាចនាំទៅដល់ការស្នើសុំតាមរយៈប្រូកស៊ីសម្រាប់ធនធានខាងក្នុង ការចូលប្រើដែលត្រូវបានហាមឃាត់តាមរយៈប្រូកស៊ី ឬការបំពុលមាតិកាឃ្លាំងសម្ងាត់។ សម្រាប់ភាពងាយរងគ្រោះក្នុងការបង្ហាញ វាចាំបាច់ដែលច្បាប់នៃការសរសេរឡើងវិញនៃសំណើប្រើប្រាស់ទិន្នន័យពី URL ដែលបន្ទាប់មកត្រូវបានជំនួសទៅក្នុងសំណើដែលត្រូវបានផ្ញើបន្ថែមទៀត។ ឧទាហរណ៍៖ RewriteEngine on RewriteRule “^/here/.*)” » http://example.com:8080/elsewhere?$1″ http://example.com:8080/elsewhere ; [P] ProxyPassReverse /here/ http://example.com:8080/ http://example.com:8080/

ក្នុងចំណោមការផ្លាស់ប្តូរដែលមិនមានសុវត្ថិភាព៖

• ទង់ “-T” ត្រូវបានបន្ថែមទៅឧបករណ៍ប្រើប្រាស់ rotatelogs ដែលអនុញ្ញាតឱ្យនៅពេលបង្វិលកំណត់ហេតុ កាត់បន្ថយឯកសារកំណត់ហេតុជាបន្តបន្ទាប់ដោយមិនកាត់បន្ថយឯកសារកំណត់ហេតុដំបូង។
• mod_ldap អនុញ្ញាតឱ្យតម្លៃអវិជ្ជមាននៅក្នុងការណែនាំ LDAPConnectionPoolTTL ដើម្បីកំណត់រចនាសម្ព័ន្ធការប្រើប្រាស់ឡើងវិញនៃការតភ្ជាប់ចាស់ណាមួយ។
• ម៉ូឌុល mod_md ដែលប្រើដើម្បីធ្វើស្វ័យប្រវត្តិកម្មការទទួល និងការថែរក្សាវិញ្ញាបនបត្រដោយប្រើពិធីការ ACME (បរិស្ថានគ្រប់គ្រងវិញ្ញាបនប័ត្រដោយស្វ័យប្រវត្តិ) នៅពេលចងក្រងជាមួយ libressl 3.5.0+ រួមមានការគាំទ្រសម្រាប់គ្រោងការណ៍ហត្ថលេខាឌីជីថល ED25519 និងគណនេយ្យសម្រាប់ព័ត៌មានកំណត់ហេតុវិញ្ញាបនបត្រសាធារណៈ (CT , តម្លាភាពវិញ្ញាបនបត្រ) ។ ការណែនាំ MDChallengeDns01 អនុញ្ញាតឱ្យកំណត់និយមន័យនៃការកំណត់សម្រាប់ដែននីមួយៗ។
• mod_proxy_uwsgi បានរឹតបន្តឹងការត្រួតពិនិត្យ និងការញែកការឆ្លើយតបពីផ្នែកខាងក្រោយ HTTP ។

ប្រភព: opennet.ru