취약점이 수정된 Apache 2.4.56 http 서버 출시

Apache HTTP 서버 2.4.56의 릴리스가 발표되었습니다. 이 버전은 프런트엔드-백엔드 시스템에 대한 "HTTP 요청 스머글링(HTTP Request Smuggling)" 공격을 수행할 가능성과 관련된 6가지 변경 사항을 도입하고 2가지 취약점을 제거하여 프론트엔드와 백엔드 사이의 동일한 스레드에서 처리되는 다른 사용자의 요청 내용입니다. 이 공격은 접근 제한 시스템을 우회하거나 합법적인 웹사이트의 세션에 악성 JavaScript 코드를 삽입하는 데 사용될 수 있습니다.

첫 번째 취약점(CVE-2023-27522)은 mod_proxy_uwsgi 모듈에 영향을 미치며 백엔드에서 반환된 HTTP 헤더의 특수 문자 대체를 통해 프록시 측에서 응답이 두 부분으로 분할되도록 허용합니다.

두 번째 취약점(CVE-2023-25690)은 mod_proxy에 존재하며 mod_rewrite 모듈에서 제공하는 RewriteRule 지시어 또는 ProxyPassMatch 지시어의 특정 패턴을 사용하여 특정 요청 다시 쓰기 규칙을 사용할 때 발생합니다. 이 취약점으로 인해 프록시를 통해 액세스가 허용되지 않는 내부 리소스에 대한 프록시를 통한 요청이 발생하거나 캐시 콘텐츠가 손상될 수 있습니다. 취약점이 나타나려면 요청 재작성 규칙이 URL의 데이터를 사용해야 하며, 이 데이터는 추가로 전송되는 요청으로 대체됩니다. 예: RewriteRule "^/here/(.*)"의 RewriteEngine » http://example.com:8080/elsewhere?$1″ http://example.com:8080/elsewhere ; [P] ProxyPassReverse /여기/ http://example.com:8080/ http://example.com:8080/

비보안 변경 사항 중:

• "-T" 플래그가 Rotatelogs 유틸리티에 추가되었습니다. 이를 통해 로그를 회전할 때 초기 로그 파일을 자르지 않고 후속 로그 파일을 자를 수 있습니다.
• mod_ldap을 사용하면 LDAPConnectionPoolTTL 지시문의 음수 값을 사용하여 이전 연결의 재사용을 구성할 수 있습니다.
• libressl 3.5.0+로 컴파일할 때 ACME(자동 인증서 관리 환경) 프로토콜을 사용하여 인증서 수신 및 유지 관리를 자동화하는 데 사용되는 mod_md 모듈에는 ED25519 디지털 서명 체계에 대한 지원과 공용 인증서 로그 정보(CT)에 대한 계정이 포함됩니다. , 인증서 투명성). MDChallengeDns01 지시문을 사용하면 개별 도메인에 대한 설정을 정의할 수 있습니다.
• mod_proxy_uwsgi는 HTTP 백엔드의 응답 확인 및 구문 분석을 강화했습니다.

출처 : opennet.ru