Apache 2.4.54 HTTP सर्व्हर रिलीझ असुरक्षा निश्चित

Apache HTTP सर्व्हर 2.4.53 रिलीझ केले गेले आहे, 19 बदल सादर करत आहे आणि 8 भेद्यता दूर करत आहे:

• CVE-2022-31813 ही mod_proxy मधील एक भेद्यता आहे जी तुम्हाला X-Forwarded-* हेडर ज्या IP पत्त्यावरून मूळ विनंती आली होती त्याबद्दल माहितीसह पाठवणे अवरोधित करू देते. IP पत्त्यांच्या आधारे प्रवेश प्रतिबंध बायपास करण्यासाठी समस्या वापरली जाऊ शकते.
• CVE-2022-30556 ही mod_lua मधील एक भेद्यता आहे जी Lua स्क्रिप्टमधील r:wsread() फंक्शनच्या हाताळणीद्वारे वाटप केलेल्या बफरच्या बाहेरील डेटामध्ये प्रवेश करण्यास अनुमती देते.
• CVE-2022-30522 – mod_sed मॉड्यूलद्वारे विशिष्ट डेटावर प्रक्रिया करताना सेवेला नकार (उपलब्ध मेमरी थकवणे).
• CVE-2022-29404 ही mod_lua मधील सेवा नाकारणे आहे जी लुआ हँडलर्सना r:parsebody(0) कॉल वापरून खास तयार केलेल्या विनंत्या पाठवून शोषण करते.
• CVE-2022-28615, CVE-2022-28614 – ap_strcmp_match() आणि ap_rwrite() फंक्शन्समधील त्रुटींमुळे सेवा नाकारणे किंवा प्रोसेस मेमरीमधील डेटामध्ये प्रवेश करणे, परिणामी बफर सीमेच्या पलीकडे असलेल्या भागातून वाचन केले जाते.
• CVE-2022-28330 - mod_isapi मधील सीमाबाह्य बफर क्षेत्रांमधून माहिती गळती (समस्या फक्त Windows प्लॅटफॉर्मवर उद्भवते).
• CVE-2022-26377 – mod_proxy_ajp मॉड्यूल हे फ्रंटएंड-बॅकएंड सिस्टीमवर HTTP विनंती तस्करी हल्ल्यांसाठी संवेदनाक्षम आहे, जे त्यास फ्रंटएंड आणि बॅकएंड दरम्यान समान थ्रेडमध्ये प्रक्रिया केलेल्या इतर वापरकर्त्यांच्या विनंतीच्या सामग्रीमध्ये स्वतःची तस्करी करण्यास अनुमती देते.

सर्वात लक्षणीय गैर-सुरक्षा बदल:

• mod_ssl SSL FIPS मोड OpenSSL 3.0 सह सुसंगत बनवते.
• ab युटिलिटी TLSv1.3 ला सपोर्ट करते (या प्रोटोकॉलला सपोर्ट करणाऱ्या SSL लायब्ररीशी लिंक करणे आवश्यक आहे).
• mod_md मध्ये, MDCertificateAuthority निर्देश एकापेक्षा जास्त CA नाव आणि URL ला परवानगी देतो. नवीन निर्देश जोडले गेले आहेत: MDRetryDelay (पुन्हा प्रयत्न विनंती पाठवण्यापूर्वी विलंब परिभाषित करते) आणि MDRetryFailover (पर्यायी प्रमाणन प्राधिकरण निवडण्यापूर्वी अयशस्वी झाल्यास पुन्हा प्रयत्नांची संख्या परिभाषित करते). "की: मूल्य" स्वरूपात मूल्ये आउटपुट करताना "स्वयं" स्थितीसाठी समर्थन जोडले. टेलस्केल सुरक्षित VPN नेटवर्कच्या वापरकर्त्यांसाठी प्रमाणपत्रे व्यवस्थापित करण्याची क्षमता प्रदान केली.
• mod_http2 मॉड्यूल न वापरलेले आणि असुरक्षित कोड साफ केले आहे.
• mod_proxy खात्री करते की बॅकएंड नेटवर्क पोर्ट लॉगवर लिहिलेल्या त्रुटी संदेशांमध्ये प्रतिबिंबित होते.
• mod_heartmonitor मध्ये, HeartbeatMaxServers पॅरामीटरचे मूल्य 0 ते 10 पर्यंत बदलले आहे (10 सामायिक मेमरी स्लॉट सुरू करणे).

स्त्रोत: opennet.ru