Ko te tukunga o Apache HTTP Server 2.4.53 kua whakaputaina, e whakaatu ana i nga huringa 14 me te whakatika i nga whakaraeraetanga e 4:
- CVE-2022-22720 - te kaha ki te mahi i te whakaeke HTTP Tono Smuggling, e taea ai, ma te tuku i nga tono a nga kaihoko i hangaia motuhake, ki te uru ki nga ihirangi o nga tono a etahi atu kaiwhakamahi i tukuna ma te mod_proxy (hei tauira, ka taea e koe te whakatutuki i te whakakapinga o te kino. Waehere JavaScript ki te waahi o tetahi atu kaiwhakamahi o te pae). Ka puta te raru ma te waiho tuwhera i nga hononga taumai i muri i nga hapa i te wa e tukatuka ana i te tinana tono muhu.
- CVE-2022-23943 - He putunga putunga i roto i te kōwae mod_sed e taea ai te tuhirua i nga ihirangi o te mahara puranga me nga raraunga e whakahaerehia ana e te hunga whakaeke.
- CVE-2022-22721 - Tuhia ki waho o te rohe na te puhake tauoti ka puta ina tukuna he tinana tono nui ake i te 350MB. Ka kitea te raruraru ki runga i nga punaha 32-bit i roto i ona tautuhinga kua whakaritea te uara LimitXMLRequestBody kia teitei rawa (ma te taunoa 1 MB, mo te whakaeke me teitei ake i te 350 MB).
- Ko te CVE-2022-22719 he whakaraeraetanga i roto i te mod_lua e taea ai te panui i nga waahi mahara matapōkere me te pakaru i te tukanga i te wa e tukatuka ana i te tinana tono i hangaia. Ko te raru i puta mai i te whakamahi i nga uara kaore i mohiotia i roto i te r:parsebody function code.
Ko nga huringa kore-haumaru tino rongonui ko:
- I roto i te mod_proxy, kua piki ake te rohe mo te maha o nga tohu i te ingoa o te kaihautu (kaimahi). Kua taapirihia te kaha ki te whirihora i nga waahi mo te tuara me te pito o mua (hei tauira, e pa ana ki tetahi kaimahi). Mo nga tono ka tukuna ma te ipurangi, ma te aratuka CONNECT ranei, kua huri te waahi ki te uara teitei kua whakaritea mo te tuara me te pito o mua.
- Te whakahaere wehe i te whakatuwhera i nga konae DBM me te uta i te taraiwa DBM. Mena he tukinga, ka whakaatuhia e te raarangi nga korero mo te hapa me te taraiwa.
- I whakamutua e mod_md te tukatuka i nga tono ki /.well-known/acme-challenge/ mena ka taea e nga tautuhinga rohe te whakamahi i te momo wero 'http-01'.
- I whakatikahia e mod_dav tetahi whakahekenga i nui ai te kai mahara i te wa e tukatuka ana i te maha o nga rauemi.
- Kua taapirihia te kaha ki te whakamahi i te whare pukapuka pcre2 (10.x) hei utu mo te pcre (8.x) mo te tukatuka i nga korero auau.
- Kua taapirihia te tautoko mo te tātari anomaly LDAP ki nga whiriwhiringa patai hei tirotiro tika i nga raraunga i te wa e ngana ana ki nga whakaeke whakakapinga LDAP.
- I roto i te mpm_event, kua whakatauhia he kati ka puta i te tiimatanga, ka nui ake ranei i te tepe MaxConnectionsPerChild i runga i nga punaha tino utaina.
Source: opennet.ru