ProHoster > Blogs > Interneta ziņas > Apache HTTP servera izlaidums 2.4.56 ar ievainojamÄ«bu novērÅ”anu

Apache HTTP servera izlaidums 2.4.56 ar ievainojamÄ«bu novērÅ”anu

Publicēts Apache HTTP servera 2.4.56 izlaiÅ”ana, kurā iestrādātas 6 izmaiņas un novērstas 2 ievainojamÄ«bas, kas saistÄ«tas ar iespējamu Ā«HTTP Request SmugglingĀ» uzbrukumu veikÅ”anu frontend-backend sistēmām, ļaujot iejaukties citu lietotāju pieprasÄ«jumu saturā, kas tiek apstrādāti tajā paŔā plÅ«smā starp frontend un backend. Uzbrukumu var izmantot, lai apietu piekļuves ierobežoÅ”anas sistēmas vai ieguldÄ«tu ļaunprātÄ«gu JavaScript kodu sesijā ar leÄ£itÄ«mo tÄ«mekļa vietni.

Pirmā ievainojamÄ«ba (CVE-2023-27522) ietekmē mod_proxy_uwsgi moduli un ļauj proxy pusē sadalÄ«t atbildi divās daļās, ievietojot Ä«paÅ”us simbolus atpakaļnosÅ«tÄ«tajā HTTP virsrakstā.

Otrā ievainojamÄ«ba (CVE-2023-25690) atrodas mod_proxy modulÄ« un parādās, izmantojot noteiktus pieprasÄ«jumu pārrakstÄ«Å”anas noteikumus, kas nodroÅ”ināti ar mod_rewrite moduļa RewriteRule direktÄ«vu, vai konkrētus paraugus ProxyPassMatch direktÄ«vā. IevainojamÄ«ba var novest pie pieprasÄ«jumiem par iekŔējiem resursiem caur proxy, uz kuriem piekļūŔana caur proxy ir liegta, vai pie satura keÅ”atmiņas aizpildÄ«Å”anas. Lai Ŕī ievainojamÄ«ba manifestētos, pieprasÄ«juma pārrakstÄ«Å”anas noteikumos jāizmanto dati no URL, kas pēc tam tiek ievietoti nākamajā pieprasÄ«jumā. Piemēram: RewriteEngine on RewriteRule "^\/here\/(.*)" " http:\/\/example.com:8080\/.elsewhere?$1" http:\/\/example.com:8080\/.elsewhere ; [P] ProxyPassReverse \/here\/ http:\/\/example.com:8080\/ http:\/\/example.com:8080\/

Starp izmaiņām, kas nav saistÄ«tas ar droŔību:

  • Rotatelogs utilÄ«tē pievienots karogs "-T", kas ļauj logu rotācijas laikā saÄ«sināt turpmākos logus bez sākotnējā loga saÄ«sināŔanas.
  • Mod_ldap atļauti negatÄ«vi vērtējumi LDAPConnectionPoolTTL direktÄ«vā, lai konfigurētu veco savienojumu atkārtotu izmantoÅ”anu.
  • Moduļa mod_md, kas tiek izmantots, lai automatizētu sertifikātu saņemÅ”anu un apkalpoÅ”anu, izmantojot ACME (Automatic Certificate Management Environment) protokolu, bÅ«vējot ar libressl 3.5.0+ ir iekļauta ED25519 digitālā paraksta shēmas atbalsts un informācijas par sertifikātu publisko žurnālu ņemÅ”ana vērā (CT, Certificate Transparency). MDChallengeDns01 direktÄ«vā atļauts definēt iestatÄ«jumus atseviŔķiem domēniem.
  • Mod_proxy_uwsgi ir pastiprināta atbilžu no HTTP backend pārbaude un analÄ«ze.

Avots: opennet.lv

Iegādājieties uzticamu tÄ«mekļa hostingu ar DDoS aizsardzÄ«bu, VPS VDS serveriem šŸ”„ Iegādājieties uzticamu tÄ«mekļa hostingu ar DDoS aizsardzÄ«bu, VPS VDS serveriem | ProHoster