Release of the Apache HTTP Server 2.4.54 with vulnerabilities fixed.

Det er utgitt en versjon av HTTP-serveren Apache 2.4.53, som inkluderer 19 endringer og utbedrer 8 sårbarheter:

• CVE-2022-31813 — en sårbarhet i mod_proxy som tillater blokkerte X-Forwarded-* overskrifter som inneholder IP-adressen til den opprinnelige foresenderen. Problemet kan brukes til å omgå IP-adresse begrensninger.
• CVE-2022-30556 — en sårbarhet i mod_lua som tillater tilgang til data utenfor den tildelte bufferen gjennom manipulering med funksjonen r:wsread() i Lua-skript.
• CVE-2022-30522 — en tjenestenekt (minneutnytting) ved behandling av bestemte data av modulen mod_sed.
• CVE-2022-29404 — tjenestenekt i mod_lua, utnyttet ved å sende spesialtilpassede forespørsel til Lua-behandlere som bruker kallet r:parsebody(0).
• CVE-2022-28615, CVE-2022-28614 — tjenestenekt eller tilgang til data i minnet fra prosessen på grunn av feil i funksjonene ap_strcmp_match() og ap_rwrite(), som fører til lesing utenfor bufferen.
• CVE-2022-28330 — informasjonslekkasje fra områder utenfor buffergrensene i mod_isapi (problemet oppstår bare på Windows-plattformen).
• CVE-2022-26377 — modulen mod_proxy_ajp er utsatt for HTTP Request Smuggling-angrep på frontend-backend-systemer, som tillater innblanding i innholdet i forespørslene fra andre brukere som behandles i samme tråd mellom frontend og backend.

De mest bemerkelsesverdige endringene som ikke er relatert til sikkerhet:

• I mod_ssl er det sikret at SSLFIPS-modus er kompatibel med OpenSSL 3.0.
• I verktøyet ab er det lagt til støtte for TLSv1.3 (krev binding til SSL-biblioteket som støtter denne protokollen).
• I mod_md er det i direktivet MDCertificateAuthority tillatt å bruke mer enn ett navn og URL for sertifiseringsmyndigheten. Nye direktiver er lagt til: MDRetryDelay (definerer ventetiden før gjentatt forespørsel) og MDRetryFailover (definerer antall gjentatte forsøk ved feil før valg av alternativ sertifiseringsmyndighet). Støtte for status "auto" er lagt til ved utdata av verdier i formatet "key: value". Muligheten for å administrere sertifikater for brukere av trygg VPN- Tailscale-nettverket er avsluttet.
• Modulen mod_http2 er ryddet for ubrukelig og usikker kode.
• I mod_proxy er nettverksporten til backend reflektert i feilmeldinger som logges.
• I mod_heartmonitor er verdien av parameteren HeartbeatMaxServers endret fra 0 til 10 (initiering av 10 slots for delt minne).

Kilde: opennet.ru