Keluaran pelayan http Apache 2.4.56 dengan kelemahan tetap

Pengeluaran pelayan HTTP Apache 2.4.56 telah diterbitkan, yang memperkenalkan 6 perubahan dan menghapuskan 2 kelemahan yang berkaitan dengan kemungkinan melakukan serangan "Penyeludupan Permintaan HTTP" pada sistem hadapan-akhir-belakang, yang membolehkan untuk menjejak ke dalam kandungan permintaan pengguna lain yang diproses dalam urutan yang sama antara bahagian hadapan dan hujung belakang. Serangan itu boleh digunakan untuk memintas sistem sekatan akses atau memasukkan kod JavaScript berniat jahat ke dalam sesi dengan tapak web yang sah.

Kerentanan pertama (CVE-2023-27522) mempengaruhi modul mod_proxy_uwsgi dan membenarkan respons dibahagikan kepada dua bahagian pada bahagian proksi melalui penggantian aksara khas dalam pengepala HTTP yang dikembalikan oleh bahagian belakang.

Kerentanan kedua (CVE-2023-25690) hadir dalam mod_proxy dan berlaku apabila menggunakan peraturan penulisan semula permintaan tertentu menggunakan arahan RewriteRule yang disediakan oleh modul mod_rewrite, atau corak tertentu dalam arahan ProxyPassMatch. Kerentanan boleh membawa kepada permintaan melalui proksi untuk sumber dalaman, akses kepada yang dilarang melalui proksi, atau keracunan kandungan cache. Untuk kerentanan untuk nyata, peraturan penulisan semula permintaan perlu menggunakan data daripada URL, yang kemudiannya digantikan ke dalam permintaan yang dihantar selanjutnya. Contohnya: RewriteEngine on RewriteRule “^/here/(.*)” » http://example.com:8080/elsewhere?$1″ http://example.com:8080/elsewhere ; [P] ProxyPassReverse / here/ http://example.com:8080/ http://example.com:8080/

Antara perubahan bukan keselamatan:

• Bendera "-T" telah ditambahkan pada utiliti rotatelogs, yang membolehkan, apabila memutar log, memotong fail log berikutnya tanpa memotong fail log awal.
• mod_ldap membenarkan nilai negatif dalam arahan LDAPConnectionPoolTTL untuk mengkonfigurasi penggunaan semula mana-mana sambungan lama.
• Modul mod_md, yang digunakan untuk mengautomasikan penerimaan dan penyelenggaraan sijil menggunakan protokol ACME (Automatic Certificate Management Environment), apabila disusun dengan libressl 3.5.0+, termasuk sokongan untuk skim tandatangan digital ED25519 dan perakaunan untuk maklumat log sijil awam (CT , Ketelusan Sijil). Arahan MDChallengeDns01 membenarkan definisi tetapan untuk domain individu.
• mod_proxy_uwsgi telah mengetatkan semakan dan menghuraikan respons daripada bahagian belakang HTTP.

Sumber: opennet.ru