Utgivelse av http-serveren Apache 2.4.56 med retting av sårbarheter

Utgitt er versjonen av HTTP-serveren Apache 2.4.56, som inneholder 6 endringer og fikserer 2 sårbarheter relatert til muligheten for HTTP Request Smuggling angrep på frontend-backend systemer, som lar seg infiltrere i innholdet i forespørslene fra andre brukere som behandles i samme strøm mellom frontend og backend. Angrepet kan brukes til å omgå tilgangsbegrensingssystemer eller for å injisere ondsinnet JavaScript-kode i en økt med et legitimt nettsted.

Den første sårbarheten (CVE-2023-27522) påvirker mod_proxy_uwsgi-modulen og lar en proxy på sin side dele svaret i to deler ved å sette inn spesielle tegn i HTTP-headeren som returneres av backend.

Den andre sårbarheten (CVE-2023-25690) er til stede i mod_proxy og manifestere seg ved bruk av visse omskrivingsregler med RewriteRule-direktivet som tilbys av mod_rewrite-modulen, eller bestemte maler i ProxyPassMatch-direktivet. Sårbarheten kan føre til forespørsel gjennom proxy til interne ressurser som er forbudt tilgang til via proxy, eller til forurensning av cacheinnhold. For å manifestere sårbarheten, må skrive reglene bruke data fra URL-en, som så settes inn i den videre forespørselen. For eksempel: RewriteEngine on RewriteRule "^/here/(.*)" » http://example.com:8080/elsewhere?$1" http://example.com:8080/elsewhere ; [P] ProxyPassReverse /here/ http://example.com:8080/ http://example.com:8080/

Blant endringene som ikke er relatert til sikkerhet:

• Verktøyet rotatelogs har fått flagget "-T", som lar deg utføre trimming av de påfølgende loggfilene uten å trimme den opprinnelige loggfilen under rotasjonen av loggene.
• I mod_ldap tillates det å angi negative verdier i LDAPConnectionPoolTTL-direktivet for å konfigurere gjenbruk av eldre tilkoblinger.
• I mod_md-modulen, brukt for automatisering av innhenting og vedlikehold av sertifikater ved hjelp av ACME (Automatic Certificate Management Environment) protokollen, er det ved bygging med libressl 3.5.0+ lagt til støtte for ED25519 digital signatur skjematikk og regnskapsføring av offentlig sertifikatlogginformasjon (CT, Certificate Transparency). I MDChallengeDns01-direktivet tillates det å definere innstillinger for enkelte domener.
• I mod_proxy_uwsgi er sjekk og parsing av svar fra HTTP-backends blitt styrket.

Kilde: opennet.ru