De release van HTTP-server Apache 2.4.53 is gepubliceerd, met daarin 14 wijzigingen en 4 kwetsbaarheden opgelost:
- CVE-2022-22720 ā mogelijkheid van een 'HTTP Request Smuggling'-aanval, die het mogelijk maakt om via speciaal opgemaakte klantverzoeken in de inhoud van verzoeken van andere gebruikers in te dringen, die via mod_proxy worden verzonden (bijvoorbeeld kan kwaadaardige JavaScript-code in de sessie van een andere gebruiker worden geĆÆnjecteerd). Het probleem wordt veroorzaakt door het openlaten van binnenkomende verbindingen na fouten bij het verwerken van ongeldige verzoekinhoud.
- CVE-2022-23943 ā bufferoverloop in de mod_sed-module, waardoor de inhoud van het heap-geheugen kan worden overschreven met gegevens die door de aanvaller zijn gecontroleerd.
- CVE-2022-22721 ā mogelijkheid van schrijven buiten de buffer door een integer overflow, die optreedt bij het verzenden van verzoekinhoud groter dan 350 MB. Het probleem doet zich voor op 32-bits systemen waarin de instelling voor LimitXMLRequestBody te hoog is ingesteld (standaard 1 MB, voor de aanval moet de limiet hoger zijn dan 350 MB).
- CVE-2022-22719 ā kwetsbaarheid in mod_lua, die leidt tot het uitlezen van willekeurige geheugengebieden en het crashen van het proces bij het verwerken van speciaal opgemaakte verzoekinhoud. Het probleem wordt veroorzaakt door het gebruik van niet-geinitialiseerde waarden in de code van de functie r:parsebody.
De meest opvallende wijzigingen die niet met beveiliging te maken hebben:
- In mod_proxy is de limiet voor het aantal tekens in de naam van de handler (worker) verhoogd. De mogelijkheid voor selectieve tijdinstellingen voor de backend en frontend is toegevoegd (bijvoorbeeld gekoppeld aan de worker). Voor verzoeken die via websockets of de CONNECT-methode worden verzonden, is de time-out tijd gewijzigd naar de maximale waarde ingesteld voor de backend en frontend.
- De verwerking van het openen van DBM-bestanden en het laden van de DBM-driver is gescheiden. In het geval van een fout in de log worden nu gedetailleerdere foutdetails en informatie over de driver weergegeven.
- In mod_md is de verwerking van verzoeken naar \.well-known\/acme-challenge\/ gestopt, tenzij in de configuratie domein het gebruik van het type controle 'http-01' expliciet is ingeschakeld.
- In mod_dav is een regressie-probleem opgelost die leidde tot een hoog geheugengebruik bij de verwerking van een groot aantal bronnen.
- De mogelijkheid om de pcre2 (10.x) bibliotheek te gebruiken in plaats van pcre (8.x) voor de verwerking van reguliere expressies is toegevoegd.
- Er is ondersteuning voor anomaliedetectie toegevoegd aan de aanvraagfilters voor het LDAP-protocol, zodat gegevens correct worden geƫscaleerd bij pogingen tot LDAP-injectieaanvallen.
- In mpm_event is de wederzijdse blokkering opgelost die voorkomt bij het herstarten of het overschrijden van de MaxConnectionsPerChild-limiet op systemen met grote belasting.
Bron: opennet.ru
