കേടുപാടുകൾ പരിഹരിച്ച അപ്പാച്ചെ 2.4.56 http സെർവർ റിലീസ്

അപ്പാച്ചെ 2.4.56 HTTP സെർവർ റിലീസ് പ്രസിദ്ധീകരിച്ചു, ഇത് മറ്റ് ഉപയോക്താക്കളിൽ നിന്നുള്ള അഭ്യർത്ഥനകളുടെ ഉള്ളടക്കം പരിശോധിക്കാൻ ഞങ്ങളെ അനുവദിക്കുന്ന ഫ്രണ്ട്-എൻഡ് ബാക്കെൻഡ് സിസ്റ്റങ്ങളിൽ HTTP അഭ്യർത്ഥന കള്ളക്കടത്ത് ആക്രമണം നടത്തുന്നതിനുള്ള സാധ്യതയുമായി ബന്ധപ്പെട്ട 6 മാറ്റങ്ങൾ അവതരിപ്പിക്കുകയും 2 കേടുപാടുകൾ പരിഹരിക്കുകയും ചെയ്യുന്നു. ഫ്രണ്ട്‌എൻഡിനും ബാക്കെൻഡിനും ഇടയിൽ ഒരേ ത്രെഡിൽ പ്രോസസ്സ് ചെയ്യുന്നു. ആക്‌സസ് കൺട്രോൾ സിസ്റ്റങ്ങളെ മറികടക്കുന്നതിനോ നിയമാനുസൃതമായ സൈറ്റുള്ള ഒരു സെഷനിലേക്ക് ക്ഷുദ്രകരമായ JavaScript കോഡ് കുത്തിവയ്ക്കുന്നതിനോ ആക്രമണം ഉപയോഗിക്കാം.

ആദ്യത്തെ കേടുപാടുകൾ (CVE-2023-27522) mod_proxy_uwsgi മൊഡ്യൂളിനെ ബാധിക്കുകയും ബാക്കെൻഡ് നൽകുന്ന HTTP ഹെഡറിൽ പ്രത്യേക പ്രതീകങ്ങൾ പകരം വയ്ക്കുന്നതിലൂടെ പ്രതികരണത്തെ രണ്ട് ഭാഗങ്ങളായി വിഭജിക്കാൻ പ്രോക്സിയെ അനുവദിക്കുന്നു.

രണ്ടാമത്തെ അപകടസാധ്യത (CVE-2023-25690) mod_proxy-ൽ ഉണ്ട് കൂടാതെ mod_rewrite മൊഡ്യൂൾ നൽകുന്ന RewriteRule നിർദ്ദേശം അല്ലെങ്കിൽ ProxyPassMatch നിർദ്ദേശത്തിലെ ചില പാറ്റേണുകൾ ഉപയോഗിച്ച് ചില അഭ്യർത്ഥന റീറൈറ്റിംഗ് നിയമങ്ങൾ ഉപയോഗിക്കുമ്പോൾ അത് സ്വയം പ്രത്യക്ഷപ്പെടുന്നു. പ്രോക്‌സി വഴി ആക്‌സസ് ചെയ്യാനാകാത്ത ആന്തരിക ഉറവിടങ്ങൾ പ്രോക്‌സി അഭ്യർത്ഥിക്കുന്നതിനോ കാഷെയിലെ ഉള്ളടക്കങ്ങൾ വിഷലിപ്തമാക്കുന്നതിനോ ഈ ദുർബലത കാരണമാകാം. മാനിഫെസ്റ്റ് ചെയ്യാനുള്ള അപകടസാധ്യതയ്ക്കായി, അഭ്യർത്ഥന റീറൈറ്റിംഗ് നിയമങ്ങളിൽ URL-ൽ നിന്നുള്ള ഡാറ്റ ഉപയോഗിക്കേണ്ടത് ആവശ്യമാണ്, അത് പിന്നീട് അയച്ച അഭ്യർത്ഥനയിലേക്ക് മാറ്റിസ്ഥാപിക്കും. ഉദാഹരണത്തിന്: RewriteEngine on RewriteRule "^/here/(.*)" » http://example.com:8080/elsewhere?$1″ http://example.com:8080/elsewhere ; [P] ProxyPassReverse /ഇവിടെ/ http://example.com:8080/ http://example.com:8080/

സുരക്ഷിതമല്ലാത്ത മാറ്റങ്ങളിൽ ഇവ ഉൾപ്പെടുന്നു:

• "-T" ഫ്ലാഗ് റൊട്ടേറ്റ്ലോഗ് യൂട്ടിലിറ്റിയിലേക്ക് ചേർത്തിട്ടുണ്ട്, ഇത് ലോഗുകൾ തിരിക്കുമ്പോൾ, പ്രാരംഭ ലോഗ് ഫയൽ വെട്ടിച്ചുരുക്കാതെ തന്നെ തുടർന്നുള്ള ലോഗ് ഫയലുകൾ വെട്ടിച്ചുരുക്കാൻ അനുവദിക്കുന്നു.
• ഏതെങ്കിലും പഴയ കണക്ഷനുകളുടെ പുനരുപയോഗം ക്രമീകരിക്കുന്നതിന് LDAPConnectionPoolTTL നിർദ്ദേശത്തിലെ നെഗറ്റീവ് മൂല്യങ്ങൾ Mod_ldap അനുവദിക്കുന്നു.
• mod_md മൊഡ്യൂളിൽ, ACME (ഓട്ടോമാറ്റിക് സർട്ടിഫിക്കറ്റ് മാനേജ്‌മെന്റ് എൻവയോൺമെന്റ്) പ്രോട്ടോക്കോൾ ഉപയോഗിച്ച് സർട്ടിഫിക്കറ്റുകളുടെ രസീതിയും പരിപാലനവും ഓട്ടോമേറ്റ് ചെയ്യാൻ ഉപയോഗിക്കുന്നു, ലിബ്രസ്‌എൽ 3.5.0+ ഉപയോഗിച്ച് നിർമ്മിക്കുമ്പോൾ, ഡിജിറ്റൽ സിഗ്നേച്ചർ സ്കീം ED25519-നുള്ള പിന്തുണയും പൊതു ലോഗിലെ വിവരങ്ങൾക്കായി അക്കൗണ്ടിംഗും സർട്ടിഫിക്കറ്റുകൾ (സിടി, സർട്ടിഫിക്കറ്റ് സുതാര്യത) ഉൾപ്പെടുത്തിയിട്ടുണ്ട്. MDChallengeDns01 നിർദ്ദേശം വ്യക്തിഗത ഡൊമെയ്‌നുകൾക്കുള്ള ക്രമീകരണങ്ങൾ നിർവചിക്കാൻ അനുവദിക്കുന്നു.
• mod_proxy_uwsgi HTTP ബാക്കെൻഡുകളിൽ നിന്നുള്ള പ്രതികരണങ്ങൾ പരിശോധിക്കുന്നതും പാഴ്‌സുചെയ്യുന്നതും കർശനമാക്കി.

അവലംബം: opennet.ru