Apache 2.4.54 HTTP सर्भर रिलिज कमजोरीहरू तय गरियो

Apache HTTP सर्भर 2.4.53 जारी गरिएको छ, 19 परिवर्तनहरू प्रस्तुत गर्दै र 8 कमजोरीहरू हटाउँदै:

• CVE-2022-31813 mod_proxy मा एक जोखिम हो जसले तपाईंलाई X-Forwarded-* हेडरहरू पठाउन रोक्न अनुमति दिन्छ जुन IP ठेगानाबाट मूल अनुरोध आएको थियो। समस्या IP ठेगानाहरूमा आधारित पहुँच प्रतिबन्धहरू बाइपास गर्न प्रयोग गर्न सकिन्छ।
• CVE-2022-30556 mod_lua मा एउटा जोखिम हो जसले Lua स्क्रिप्टहरूमा r:wsread() प्रकार्यको हेरफेर मार्फत छुट्याइएको बफर बाहिर डेटामा पहुँच गर्न अनुमति दिन्छ।
• CVE-2022-30522 - mod_sed मोड्युल द्वारा निश्चित डेटा प्रशोधन गर्दा सेवाको अस्वीकार (उपलब्ध मेमोरी थकान)।
• CVE-2022-29404 भनेको r:parsebody(0) कल प्रयोग गरेर लुआ ह्यान्डलरहरूलाई विशेष रूपमा तयार गरिएका अनुरोधहरू पठाएर शोषण गरिएको mod_lua मा सेवाको अस्वीकार हो।
• CVE-2022-28615, CVE-2022-28614 - ap_strcmp_match() र ap_rwrite() प्रकार्यहरूमा त्रुटिहरूको कारणले गर्दा सेवाको अस्वीकार वा प्रक्रिया मेमोरीमा डेटामा पहुँच, बफर सीमाभन्दा बाहिरको क्षेत्रबाट पढाइको परिणामस्वरूप।
• CVE-2022-28330 - mod_isapi मा सीमा बाहिरका बफर क्षेत्रहरूबाट सूचना चुहावट (समस्या Windows प्लेटफर्ममा मात्र हुन्छ)।
• CVE-2022-26377 - mod_proxy_ajp मोड्युल फ्रन्टएन्ड-ब्याकएन्ड प्रणालीहरूमा HTTP अनुरोध तस्करी आक्रमणहरूको लागि संवेदनशील छ, जसले यसलाई फ्रन्टएन्ड र ब्याकएन्ड बीचको समान थ्रेडमा प्रशोधन गरिएका अन्य प्रयोगकर्ताहरूको अनुरोधहरूको सामग्रीहरूमा आफैं तस्करी गर्न अनुमति दिन्छ।

सबैभन्दा उल्लेखनीय गैर-सुरक्षा परिवर्तनहरू हुन्:

• mod_ssl ले SSL FIPS मोड OpenSSL 3.0 सँग उपयुक्त बनाउँछ।
• ab उपयोगिताले TLSv1.3 लाई समर्थन गर्दछ (यस प्रोटोकललाई समर्थन गर्ने SSL पुस्तकालयसँग लिङ्क गर्न आवश्यक छ)।
• mod_md मा, MDCertificateAuthority निर्देशनले एक भन्दा बढी CA नाम र URL लाई अनुमति दिन्छ। नयाँ निर्देशनहरू थपिएका छन्: MDRetryDelay (पुन: प्रयास अनुरोध पठाउनु अघि ढिलाइ परिभाषित गर्दछ) र MDRetryFailover (वैकल्पिक प्रमाणीकरण प्राधिकरण छनोट गर्नु अघि असफलताको अवस्थामा पुन: प्रयासहरूको संख्या परिभाषित गर्दछ)। "कुञ्जी: मान" ढाँचामा मानहरू आउटपुट गर्दा "स्वत:" स्थितिको लागि समर्थन थपियो। Tailscale सुरक्षित VPN नेटवर्कका प्रयोगकर्ताहरूको लागि प्रमाणपत्रहरू व्यवस्थापन गर्ने क्षमता प्रदान गरियो।
• mod_http2 मोड्युल प्रयोग नगरिएको र असुरक्षित कोडबाट सफा गरिएको छ।
• mod_proxy ले ब्याकइन्ड नेटवर्क पोर्ट लगमा लेखिएका त्रुटि सन्देशहरूमा प्रतिबिम्बित भएको सुनिश्चित गर्दछ।
• mod_heartmonitor मा, HeartbeatMaxServers प्यारामिटरको मान 0 देखि 10 सम्म परिवर्तन गरिएको छ (१० साझा मेमोरी स्लटहरू सुरु गर्दै)।

स्रोत: opennet.ru