De release van HTTP-server Apache 2.4.53 is gepubliceerd, met 19 wijzigingen en 8 kwetsbaarheden verholpen:
- CVE-2022-31813 – een kwetsbaarheid in mod_proxy, die het mogelijk maakt om X-Forwarded-* headers te blokkeren met informatie over het IP-adres vanwaar het oorspronkelijke verzoek kwam. Dit probleem kan worden gebruikt om toegangsbeperkingen op basis van IP-adressen te omzeilen.
- CVE-2022-30556 – een kwetsbaarheid in mod_lua, waarmee toegang kan worden verkregen tot gegevens buiten de toegewezen buffer via manipulaties met de functie r:wsread() in Lua-scripts.
- CVE-2022-30522 – een denial-of-service (uitputting van beschikbare geheugen) bij het verwerken van bepaalde gegevens door de mod_sed-module.
- CVE-2022-29404 – denial-of-service in mod_lua, geëxploiteerd via het verzenden van speciaal opgemaakte verzoeken naar Lua-handlers die de aanroep r:parsebody(0) gebruiken.
- CVE-2022-28615, CVE-2022-28614 – denial-of-service of toegang tot gegevens in het geheugen van het proces door fouten in de functies ap_strcmp_match() en ap_rwrite(), die leiden tot lezen buiten de buffergrenzen.
- CVE-2022-28330 – informatielek uit gebieden buiten de buffergrenzen in mod_isapi (het probleem doet zich alleen voor op het Windows-platform).
- CVE-2022-26377 – de mod_proxy_ajp-module is kwetsbaar voor 'HTTP Request Smuggling'-aanvallen op frontend-backend systemen, waardoor zijn geheime inhoud kan worden ingevoegd in de verzoeken van andere gebruikers die in dezelfde thread tussen frontend en backend worden verwerkt.
De meest opvallende wijzigingen die niet met beveiliging te maken hebben:
- In mod_ssl is de compatibiliteit van de SSLFIPS-modus met OpenSSL 3.0 verzekerd.
- In de ab-tool is ondersteuning voor TLSv1.3 geïmplementeerd (vereist koppeling met SSL- een bibliotheek die dit protocol ondersteunt).
- In mod_md is het toegestaan om meer dan één naam en URL van de certificeringsautoriteit in de MDRCertificateAuthority-instructie te gebruiken. Nieuwe instructies zijn toegevoegd: MDRetryDelay (bepaalt de vertraging voordat een herhaalverzoek wordt verzonden) en MDRetryFailover (bepaalt het aantal pogingen bij een fout voordat een alternatieve certificeringsautoriteit wordt gekozen). Ondersteuning voor de status 'auto' is toegevoegd bij het afdrukken van waarden in het formaat 'key: value'. Beheermogelijkheden voor certificaten voor gebruikers van beveiligde VPN- Tailscale-netwerk.
- De mod_http2-module is schoongemaakt voor ongebruikte en onveilige code.
- In mod_proxy wordt de netwerpoort van de backend weergegeven in foutberichten die in de log worden geschreven.
- In mod_heartmonitor is de waarde van de parameter HeartbeatMaxServers gewijzigd van 0 naar 10 (initialisatie van 10 gedeelde geheugen slots).
Bron: opennet.ru
