Apache 2.4.54 HTTP servera izlaidums ar drošības trūkumu novēršanu

Ir publicēts Apache HTTP servera 2.4.53 laidiena, kurā ietverti 19 uzlabojumi un novērstas 8 ievainojamības:

• CVE-2022-31813 — ievainojamība mod_proxy, kas ļauj bloķēt X-Forwarded-* virsrakstu sūtīšanu ar informāciju par IP adresi, no kuras tika saņemts sākotnējais pieprasījums. Problēma var tikt izmantota, lai apietu piekļuves ierobežojumus pēc IP adresēm.
• CVE-2022-30556 — ievainojamība mod_lua, kas ļauj piekļūt datiem ārpus piešķirtā bufera, manipulējot ar funkciju r:wsread() Lua skriptā.
• CVE-2022-30522 — pakalpojuma atteikums (pieejamās atmiņas izsīkšana) apstrādājot noteiktus datus mod_sed modulī.
• CVE-2022-29404 — pakalpojuma atteikums mod_lua, izmantojot īpaši formatētus pieprasījumus Lua apstrādātājiem, kas izmanto r:parsebody(0) izsaukumu.
• CVE-2022-28615, CVE-2022-28614 — pakalpojuma atteikums vai piekļuve datiem procesa atmiņā, ko izraisa kļūdas funkcijās ap_strcmp_match() un ap_rwrite(), kas noved pie lasīšanas ārpus bufera.
• CVE-2022-28330 — informācijas noplūde no apgabaliem ārpus bufera robežām mod_isapi (problēma parādās tikai Windows platformā).
• CVE-2022-26377 — mod_proxy_ajp modulis ir pakļauts „HTTP Request Smuggling” uzbrukumiem priekšgala un aizmugures sistēmām, kas ļauj iejaukties citu lietotāju pieprasījumu saturā, kas tiek apstrādāti tajā pašā plūsmā starp priekšgala un aizmugures.

Visredzamākās izmaiņas, kas nav saistītas ar drošību:

• mod_ssl ir nodrošināta SSLFIPS režīma saderība ar OpenSSL 3.0.
• ab rīkā ir ieviesta TLSv1.3 atbalsts (prasa saistīšanu ar SSL-bibliotēku, kas atbalsta šo protokolu).
• mod_md direktīvā MDCertificateAuthority ir atļauts izmantot vairāk nekā vienu nosaukumu un URL sertifikācijas iestādei. Ir pievienotas jaunas direktīvas: MDRetryDelay (nosaka aizturi pirms atkārtota pieprasījuma sūtīšanas) un MDRetryFailover (nosaka atkārtoto mēģinājumu skaitu neveiksmes gadījumā pirms alternatīvas sertifikācijas iestādes izvēles). Ir pievienota atbalsts ‘auto’ statusam, izvadot vērtības formātā ‘key: value’. Ir sniegta iespēja pārvaldīt sertifikātus aizsargātā VPN-tīklā Tailscale.
• Ir veikta mod_http2 moduļa attīrīšana no neizmantota un nedroša koda.
• mod_proxy nodrošina tīkla aizmugures porta atspoguļošanu kļūdu ziņojumos, kas tiek ierakstīti žurnālā.
• mod_heartmonitor parametrs HeartbeatMaxServers ir mainīts no 0 uz 10 (sākotnēji 10 koplietošanas atmiņas sloti).

Avots: opennet.lv