Apache HTTP ဆာဗာ 2.4.56 ကို ထုတ်ဝေလိုက်ပါပြီ၊ ပြောင်းလဲမှု 6 ခုကို မိတ်ဆက်ပြီး ရှေ့ဆုံး-နောက်တန်း စနစ်များတွင် “HTTP Request Smuggling” တိုက်ခိုက်မှုများကို လုပ်ဆောင်နိုင်ခြေနှင့် ဆက်စပ်နေသော အားနည်းချက် 2 ခုကို ဖယ်ရှားပေးပါသည်။ အခြားအသုံးပြုသူများ၏ တောင်းဆိုချက်များ၏ အကြောင်းအရာများကို ရှေ့တန်းနှင့် နောက်ကွယ်မှ တူညီသောစာတွဲတွင် လုပ်ဆောင်သည်။ ဝင်ရောက်ခွင့်ကန့်သတ်သည့်စနစ်များကို ကျော်လွှားရန် သို့မဟုတ် ဆိုးရွားသော JavaScript ကုဒ်ကို တရားဝင်ဝဘ်ဆိုက်တစ်ခုနှင့် ဆက်ရှင်တစ်ခုတွင် ထည့်သွင်းရန် တိုက်ခိုက်မှုကို အသုံးပြုနိုင်သည်။
ပထမဆုံး အားနည်းချက် (CVE-2023-27522) သည် mod_proxy_uwsgi module ကို သက်ရောက်မှုရှိပြီး တုံ့ပြန်မှုကို နောက်ကွယ်မှ ပြန်ပေးသည့် HTTP ခေါင်းစီးရှိ အထူးဇာတ်ကောင်များကို အစားထိုးခြင်းဖြင့် ပရောက်စီဘက်တွင် အပိုင်းနှစ်ပိုင်းခွဲရန် ခွင့်ပြုသည်။
ဒုတိယ အားနည်းချက် (CVE-2023-25690) သည် mod_proxy တွင် ရှိနေပြီး mod_rewrite module သို့မဟုတ် ProxyPassMatch ညွှန်ကြားချက်ရှိ အချို့သောပုံစံများမှ ပံ့ပိုးပေးသော RewriteRule ညွှန်ကြားချက်ကို အသုံးပြု၍ အချို့သော တောင်းဆိုချက် ပြန်လည်ရေးသားခြင်းစည်းမျဉ်းများကို အသုံးပြုသည့်အခါ ဖြစ်ပေါ်ပါသည်။ အားနည်းချက်သည် ပရောက်စီမှတစ်ဆင့် ဝင်ရောက်ခွင့်မပြုသော အတွင်းအရင်းအမြစ်များအတွက် ပရောက်စီမှတစ်ဆင့် တောင်းဆိုမှုတစ်ခု သို့မဟုတ် ကက်ရှ်အကြောင်းအရာများကို အဆိပ်သင့်စေနိုင်သည်။ အားနည်းချက်ကို ထင်ရှားစေရန်အတွက်၊ တောင်းဆိုချက်ပြန်လည်ရေးသားခြင်းစည်းမျဉ်းများသည် URL မှဒေတာကိုအသုံးပြုကာ၊ ထို့နောက် ထပ်မံပေးပို့သောတောင်းဆိုချက်တွင် အစားထိုးထားသော URL မှဒေတာကိုအသုံးပြုရန်လိုအပ်ပါသည်။ ဥပမာ- RewriteRule တွင် RewriteEngine “^/here/.*)” » http://example.com:8080/elsewhere?$1″ http://example.com:8080/elsewhere ; [P] ProxyPassReverse /here/ http://example.com:8080/ http://example.com:8080/
လုံခြုံရေးမဟုတ်သော အပြောင်းအလဲများထဲတွင်-
- “-T” အလံကို rotatelogs utility တွင် ထည့်သွင်းထားပြီး၊ ၎င်းသည် ကနဦးမှတ်တမ်းဖိုင်ကို ဖြတ်တောက်ခြင်းမပြုဘဲ နောက်ဆက်တွဲမှတ်တမ်းဖိုင်များကို ဖြတ်တောက်ရန် ခွင့်ပြုထားသည်။
- mod_ldap သည် LDAPConnectionPoolTTL ညွှန်ကြားချက်တွင် အနုတ်တန်ဖိုးများကို ခွင့်ပြုပေးပါသည်။
- libressl 3.5.0+ ဖြင့် ပြုစုထားသည့် ACME (Automatic Certificate Management Environment) ပရိုတိုကောကို အသုံးပြု၍ လက်မှတ်များ၏ ပြေစာနှင့် ပြုပြင်ထိန်းသိမ်းမှုကို အလိုအလျောက်ပြုလုပ်ရန် အသုံးပြုသည့် mod_md မော်ဂျူးတွင်၊ ED25519 ဒစ်ဂျစ်တယ်လက်မှတ်စနစ်နှင့် အများသူငှာ လက်မှတ်မှတ်တမ်းအချက်အလက်အတွက် စာရင်းကိုင်ခြင်း (CT ၊ Certificate Transparency)။ MDChallengeDns01 ညွှန်ကြားချက်သည် တစ်ဦးချင်းစီ ဒိုမိန်းများအတွက် ဆက်တင်များ၏ အဓိပ္ပါယ်ဖွင့်ဆိုချက်ကို ခွင့်ပြုသည်။
- mod_proxy_uwsgi သည် HTTP backend များမှ တုံ့ပြန်မှုများကို စစ်ဆေးခြင်းနှင့် ပိုင်းခြားခြင်းတို့ကို တင်းကျပ်ထားသည်။
source: opennet.ru