Den Apache HTTP-Server 2.4.53 gouf verëffentlecht, 19 Ännerungen agefouert an 8 Schwachstelle eliminéiert:
- CVE-2022-31813 ass eng Schwachstelle bei mod_proxy, déi Iech erlaabt d'Versendung vun X-Forwarded-* Header mat Informatioun iwwer d'IP Adress aus där d'ursprénglech Ufro koum ze blockéieren. De Problem ka benotzt ginn fir Zougangsbeschränkungen op Basis vun IP Adressen z'iwwergoen.
- CVE-2022-30556 ass eng Schwachstelle am mod_lua déi Zougang zu Daten ausserhalb vum zougeloossene Puffer erlaabt duerch Manipulatioun vun der r: wsread () Funktioun a Lua Scripten.
- CVE-2022-30522 - Denial of Service (verfügbar Erënnerungsausschöpfung) wann Dir bestëmmten Donnéeën vum mod_sed Modul veraarbecht.
- CVE-2022-29404 ass e Verweigerung vum Service am mod_lua exploitéiert andeems se speziell erstallt Ufroen un Lua Handler schéckt mat dem r: parsebody(0) Uruff.
- CVE-2022-28615, CVE-2022-28614 - Verweigerung vum Service oder Zougang zu Daten am Prozess Erënnerung wéinst Feeler an der ap_strcmp_match () an ap_rwrite () Funktiounen, doraus zu engem liesen aus engem Gebitt iwwer d'Puffer Grenz.
- CVE-2022-28330 - Informatiounsleckage vun ausserhalb vu Grenzen Pufferberäicher am mod_isapi (d'Fro geschitt nëmmen op der Windows Plattform).
- CVE-2022-26377 - De mod_proxy_ajp Modul ass ufälleg fir HTTP Request Smuggling Attacken op Frontend-Backend Systemer, wat et erlaabt sech selwer an den Inhalt vun anere Benotzer Ufroen ze schmuggelen, déi am selwechte Fuedem tëscht dem Frontend an dem Backend veraarbecht ginn.
Déi bemierkenswäert Net-Sécherheetsännerungen:
- mod_ssl mécht SSLFIPS Modus kompatibel mat OpenSSL 3.0.
- D'ab Utility ënnerstëtzt TLSv1.3 (erfuerdert Verbindung mat enger SSL Bibliothéik déi dëse Protokoll ënnerstëtzt).
- Am mod_md erlaabt d'MDCertificateAuthority Direktiv méi wéi ee CA Numm an URL. Nei Direktiven goufen derbäigesat: MDRetryDelay (definéiert d'Verspéidung ier Dir eng Retry-Ufro schéckt) an MDRetryFailover (definéiert d'Zuel vun de Retry am Fall vun engem Echec ier Dir eng alternativ Zertifizéierungsautoritéit wielt). Zousätzlech Ënnerstëtzung fir den "Auto" Staat wann Dir Wäerter am "Schlëssel: Wäert" Format ausgitt. Gitt d'Fäegkeet fir Zertifikater fir Benotzer vum Tailscale sécher VPN Netzwierk ze managen.
- De mod_http2 Modul gouf vun onbenotzten an onséchere Code gebotzt.
- mod_proxy garantéiert datt de Backend-Netzhafen a Fehlermeldungen an de Logbuch reflektéiert gëtt.
- Am mod_heartmonitor gouf de Wäert vum HeartbeatMaxServers Parameter vun 0 op 10 geännert (initialiséiert 10 gedeelt Erënnerungsplazen).
Source: opennet.ru