കേടുപാടുകൾ പരിഹരിച്ച അപ്പാച്ചെ 2.4.54 http സെർവർ റിലീസ്

Apache 2.4.53 HTTP സെർവർ റിലീസ് പ്രസിദ്ധീകരിച്ചു, അതിൽ 19 മാറ്റങ്ങളും പരിഹരിച്ച 8 കേടുപാടുകളും:

• CVE-2022-31813 എന്നത് mod_proxy-ലെ ഒരു അപകടസാധ്യതയാണ്, അത് യഥാർത്ഥ അഭ്യർത്ഥന വന്ന IP വിലാസത്തെക്കുറിച്ചുള്ള വിവരങ്ങളുള്ള X-Forwarded-* തലക്കെട്ടുകൾ അയയ്ക്കുന്നത് തടയാൻ നിങ്ങളെ അനുവദിക്കുന്നു. ഐപി വിലാസങ്ങൾ അടിസ്ഥാനമാക്കിയുള്ള ആക്സസ് നിയന്ത്രണങ്ങൾ മറികടക്കാൻ പ്രശ്നം ഉപയോഗിക്കാം.
• CVE-2022-30556 എന്നത് mod_lua-ലെ ഒരു അപകടസാധ്യതയാണ്, ഇത് Lua സ്‌ക്രിപ്റ്റുകളിലെ r:wsread() ഫംഗ്‌ഷന്റെ കൃത്രിമത്വം വഴി അനുവദിച്ച ബഫറിന് പുറത്തുള്ള ഡാറ്റയിലേക്ക് ആക്‌സസ്സ് അനുവദിക്കുന്നു.
• CVE-2022-30522 - mod_sed മൊഡ്യൂൾ വഴി ചില ഡാറ്റ പ്രോസസ്സ് ചെയ്യുമ്പോൾ സേവനം നിഷേധിക്കൽ (ലഭ്യമായ മെമ്മറി ക്ഷീണം).
• CVE-2022-29404 എന്നത് r:parsebody(0) കോൾ ഉപയോഗിച്ച് Lua ഹാൻഡ്‌ലർമാർക്ക് പ്രത്യേകം തയ്യാറാക്കിയ അഭ്യർത്ഥനകൾ അയച്ചുകൊണ്ട് mod_lua ചൂഷണം ചെയ്യപ്പെടുന്ന സേവന നിഷേധമാണ്.
• CVE-2022-28615, CVE-2022-28614 - ap_strcmp_match(), ap_rwrite() ഫംഗ്‌ഷനുകളിലെ പിശകുകൾ കാരണം, സേവനം നിഷേധിക്കുകയോ പ്രോസസ്സ് മെമ്മറിയിലെ ഡാറ്റയിലേക്കുള്ള ആക്‌സസ്സ്, ബഫർ അതിർത്തിക്കപ്പുറമുള്ള ഒരു ഏരിയയിൽ നിന്ന് റീഡ് ചെയ്യപ്പെടുന്നതിന് കാരണമാകുന്നു.
• CVE-2022-28330 - mod_isapi-ലെ ബഫർ ഏരിയകളിൽ നിന്നുള്ള വിവര ചോർച്ച (പ്രശ്നം വിൻഡോസ് പ്ലാറ്റ്‌ഫോമിൽ മാത്രമേ ഉണ്ടാകൂ).
• CVE-2022-26377 – mod_proxy_ajp മൊഡ്യൂൾ ഫ്രണ്ട്‌എൻഡ്-ബാക്കെൻഡ് സിസ്റ്റങ്ങളിലെ HTTP അഭ്യർത്ഥന കള്ളക്കടത്ത് ആക്രമണങ്ങൾക്ക് വിധേയമാണ്, ഇത് ഫ്രണ്ട്‌എൻഡിനും ബാക്കെൻഡിനും ഇടയിൽ ഒരേ ത്രെഡിൽ പ്രോസസ്സ് ചെയ്ത മറ്റ് ഉപയോക്താക്കളുടെ അഭ്യർത്ഥനകളുടെ ഉള്ളടക്കങ്ങളിലേക്ക് സ്വയം കടത്താൻ അനുവദിക്കുന്നു.

ഏറ്റവും ശ്രദ്ധേയമായ നോൺ-സെക്യൂരിറ്റി മാറ്റങ്ങൾ ഇവയാണ്:

• mod_ssl SSLFIPS മോഡ് OpenSSL 3.0-ന് അനുയോജ്യമാക്കുന്നു.
• ab യൂട്ടിലിറ്റി TLSv1.3 പിന്തുണയ്ക്കുന്നു (ഈ പ്രോട്ടോക്കോൾ പിന്തുണയ്ക്കുന്ന ഒരു SSL ലൈബ്രറിയുമായി ലിങ്ക് ചെയ്യേണ്ടതുണ്ട്).
• mod_md-ൽ, MDCertificateAuthority നിർദ്ദേശം ഒന്നിലധികം CA പേരുകളും URL-ഉം അനുവദിക്കുന്നു. പുതിയ നിർദ്ദേശങ്ങൾ ചേർത്തു: MDRetryDelay (വീണ്ടും ശ്രമിക്കുന്നതിനുള്ള അഭ്യർത്ഥന അയയ്‌ക്കുന്നതിന് മുമ്പുള്ള കാലതാമസം നിർവചിക്കുന്നു) കൂടാതെ MDRetryFailover (ഒരു ഇതര സർട്ടിഫിക്കേഷൻ അതോറിറ്റി തിരഞ്ഞെടുക്കുന്നതിന് മുമ്പ് പരാജയപ്പെട്ടാൽ വീണ്ടും ശ്രമിക്കുന്നതിന്റെ എണ്ണം നിർവചിക്കുന്നു). "കീ: മൂല്യം" ഫോർമാറ്റിൽ മൂല്യങ്ങൾ ഔട്ട്പുട്ട് ചെയ്യുമ്പോൾ "യാന്ത്രിക" അവസ്ഥയ്ക്കുള്ള പിന്തുണ ചേർത്തു. ടെയിൽ‌സ്‌കെയിൽ സുരക്ഷിത VPN നെറ്റ്‌വർക്കിന്റെ ഉപയോക്താക്കൾക്കായി സർട്ടിഫിക്കറ്റുകൾ മാനേജ് ചെയ്യാനുള്ള കഴിവ് നൽകി.
• mod_http2 മൊഡ്യൂൾ ഉപയോഗിക്കാത്തതും സുരക്ഷിതമല്ലാത്തതുമായ കോഡ് വൃത്തിയാക്കി.
• ലോഗിൽ എഴുതിയ പിശക് സന്ദേശങ്ങളിൽ ബാക്കെൻഡ് നെറ്റ്‌വർക്ക് പോർട്ട് പ്രതിഫലിക്കുന്നുണ്ടെന്ന് mod_proxy ഉറപ്പാക്കുന്നു.
• mod_heartmonitor-ൽ, HeartbeatMaxServers പാരാമീറ്ററിന്റെ മൂല്യം 0-ൽ നിന്ന് 10-ലേക്ക് മാറ്റി (10 പങ്കിട്ട മെമ്മറി സ്ലോട്ടുകൾ ആരംഭിക്കുന്നു).

അവലംബം: opennet.ru