De release van de HTTP-server Apache 2.4.56 is uitgebracht, met 6 wijzigingen en 2 kwetsbaarheden die verband houden met de mogelijkheid van aanvallen van de klasse 'HTTP Request Smuggling' op frontend-backend systemen, die het mogelijk maken om in de inhoud van verzoeken van andere gebruikers te infiltreren, die binnen dezelfde stroom tussen frontend en backend worden verwerkt. De aanval kan worden gebruikt om toegangsbeperkingen te omzeilen of kwaadaardige JavaScript-code in een sessie met een legitieme website in te voegen.
De eerste kwetsbaarheid (CVE-2023-27522) betreft de mod_proxy_uwsgi module en stelt aan de proxyzijde in staat om het antwoord in twee delen te splitsen door speciale tekens in de door de backend teruggestuurde HTTP-header in te voegen.
De tweede kwetsbaarheid (CVE-2023-25690) is aanwezig in mod_proxy en komt tot uiting bij het gebruik van bepaalde herschrijfregels met de RewriteRule-directive, die door de mod_rewrite-module wordt geleverd, of bepaalde sjablonen in de ProxyPassMatch-directive. Deze kwetsbaarheid kan leiden tot het opvragen via de proxy van interne bronnen, waarvoor toegang via de proxy is verboden, of tot het vervuilen van de cache-inhoud. Voor het optreden van de kwetsbaarheid is het noodzakelijk dat in de herschrijfregels gegevens uit de URL worden gebruikt, die vervolgens in het verdere verzoek worden ingevoegd. Bijvoorbeeld: RewriteEngine on RewriteRule "^\/here\/(.*)" " http:\/\/example.com:8080\/elsewhere?$1" http:\/\/example.com:8080\/elsewhere ; [P] ProxyPassReverse \/here\/ http:\/\/example.com:8080\/ http:\/\/example.com:8080\/
Onder de wijzigingen die niet met beveiliging te maken hebben:
- Een '-T' vlag is toegevoegd aan de rotatelogs utility, waarmee het mogelijk is om bij het roteren van logs de volgende logbestanden te verkorten zonder het initiƫle logbestand te verkorten.
- In mod_ldap is het toegestaan āāom negatieve waarden in te stellen in de LDAPConnectionPoolTTL directive voor het opnieuw gebruiken van oude verbindingen.
- In de mod_md-module, die wordt gebruikt voor de automatisering van het verkrijgen en onderhouden van certificaten met behulp van het ACME (Automatic Certificate Management Environment) protocol, is bij het bouwen met libressl 3.5.0+ ondersteuning voor het digitale handtekening schema ED25519 en het bijhouden van informatie over de publieke certificatenlog (CT, Certificate Transparency) ingeschakeld. In de MDChallengeDns01 directive is het toegestaan om instellingen voor afzonderlijke domeinen te definiƫren.
- In mod_proxy_uwsgi is de controle en parsing van antwoorden van HTTP-backends aangescherpt.
Bron: opennet.ru
