Apache HTTP серверийн 2.4.56 хувилбарыг нийтэлсэн бөгөөд энэ нь 6 өөрчлөлтийг нэвтрүүлж, урд талын арын системүүд дээр "HTTP хүсэлтийг хууль бусаар нэвтрүүлэх" халдлага хийх боломжтой холбоотой 2 эмзэг байдлыг арилгасан бөгөөд энэ нь сервер рүү нэвтрэх боломжийг олгодог. бусад хэрэглэгчдийн хүсэлтийн агуулгыг урд болон арын хэсгийн хооронд ижил хэлхээнд боловсруулсан. Энэхүү халдлагыг хандалтын хязгаарлалтын системийг тойрч гарах эсвэл хууль ёсны вэбсайттай сессэд хортой JavaScript код оруулахад ашиглаж болно.
Эхний эмзэг байдал (CVE-2023-27522) mod_proxy_uwsgi модульд нөлөөлж, арын хэсэгт буцаасан HTTP толгой хэсэгт тусгай тэмдэгтүүдийг орлуулах замаар хариуг прокси тал дээр хоёр хэсэгт хуваах боломжийг олгодог.
Хоёрдахь эмзэг байдал (CVE-2023-25690) mod_proxy-д байгаа бөгөөд mod_rewrite модулийн өгсөн RewriteRule удирдамж эсвэл ProxyPassMatch удирдамжийн тодорхой загваруудыг ашиглан хүсэлтийг дахин бичих тодорхой дүрмийг ашиглах үед үүсдэг. Эмзэг байдал нь проксигоор дамжуулан хандахыг зөвшөөрдөггүй дотоод нөөцийг проксигоор дамжуулан хүсэлт гаргах эсвэл кэшийн агуулгыг хордуулахад хүргэж болзошгүй юм. Эмзэг байдал илрэхийн тулд хүсэлтийг дахин бичих дүрэмд URL хаягийн өгөгдлийг ашиглах шаардлагатай бөгөөд үүнийг дараа нь илгээсэн хүсэлтэд орлуулах шаардлагатай. Жишээ нь: RewriteRule дээрх RewriteEngine “^/here/(.*)” » http://example.com:8080/elsewhere?$1″ http://example.com:8080/elsewhere ; [P] ProxyPassReverse /энд/ http://example.com:8080/ http://example.com:8080/
Аюулгүй байдлын бус өөрчлөлтүүдийн дунд:
- "-T" тугийг rotatelogs хэрэгсэлд нэмсэн бөгөөд энэ нь бүртгэлийг эргүүлэх үед анхны бүртгэлийн файлыг таслахгүйгээр дараагийн бүртгэлийн файлуудыг тайрах боломжийг олгодог.
- mod_ldap нь LDAPConnectionPoolTTL зааврын сөрөг утгуудыг ашиглан хуучин холболтуудыг дахин ашиглах боломжийг олгодог.
- libressl 3.5.0+ дээр хөрвүүлсэн үед ACME (Automatic Certificate Management Environment) протоколыг ашиглан гэрчилгээ хүлээн авах, засвар үйлчилгээ хийх үйл явцыг автоматжуулахад ашигладаг mod_md модуль нь ED25519 тоон гарын үсгийн схемийг дэмжих, олон нийтийн гэрчилгээний бүртгэлийн мэдээллийн бүртгэл (CT) багтана. , Гэрчилгээний ил тод байдал). MDChallengeDns01 заавар нь хувь хүний домайнуудын тохиргоог тодорхойлох боломжийг олгодог.
- mod_proxy_uwsgi нь HTTP backends-ийн хариуг шалгах, задлан шинжлэхийг чангатгасан.
Эх сурвалж: opennet.ru