Foi lançado o servidor HTTP Apache 2.4.53, que apresenta 14 alterações e corrige 4 vulnerabilidades:
- CVE-2022-22720 — possibilidade de realizar um ataque de "HTTP Request Smuggling", permitindo que, ao enviar solicitações de cliente especificamente formatadas, se insira conteúdo em outras solicitações de usuários, transmitidas através do mod_proxy (por exemplo, pode-se inserir código JavaScript malicioso na sessão de outro usuário do site). O problema é causado pela manutenção de conexões de entrada abertas após a ocorrência de erros no processamento de um corpo de solicitação inadequado.
- CVE-2022-23943 — estouro de buffer no módulo mod_sed, permitindo sobrescrever o conteúdo da memória heap com dados controlados pelo atacante.
- CVE-2022-22721 — possibilidade de escrita além do buffer devido a um estouro inteiro que ocorre ao transmitir um corpo de solicitação maior que 350 MB. O problema se manifesta em sistemas de 32 bits cujas configurações apresentam um valor muito alto para LimitXMLRequestBody (por padrão 1 MB; para o ataque, o limite deve ser superior a 350 MB).
- CVE-2022-22719 — vulnerabilidade no mod_lua, permitindo a leitura de áreas aleatórias da memória e a falha do processo ao processar um corpo de solicitação especificamente formatado. O problema é causado pelo uso de valores não inicializados no código da função r:parsebody.
As modificações mais notáveis, não relacionadas à segurança:
- No mod_proxy, o limite para o número de caracteres no nome do manipulador (worker) foi aumentado. Foi adicionada a possibilidade de configuração seletiva de tempos limite para o backend e frontend (por exemplo, vinculada ao worker). Para solicitações transmitidas através de websockets ou pelo método CONNECT, o tempo limite foi alterado para o valor máximo definido para o backend e frontend.
- A lógica de abertura de arquivos DBM e a carga do driver DBM foram separadas. Em caso de falha, o log agora exibe detalhes mais completos sobre o erro e o driver.
- No mod_md, a manipulação de solicitações para \/.well-known\/acme-challenge\/ foi interrompida, a menos que nas configurações de domínio o uso do tipo de verificação 'http-01' esteja explicitamente habilitado.
- No mod_dav, foi corrigida uma alteração regressiva que causava um grande consumo de memória ao processar um grande número de recursos.
- Adicionada a possibilidade de usar a biblioteca pcre2 (10.x) em vez da pcre (8.x) para processamento de expressões regulares.
- Foi adicionada a suporte à análise de anomalias para o protocolo LDAP nos filtros de consulta, garantindo a correta escapar de dados ao tentar realizar ataques com injeção de estruturas LDAP.
- No mpm_event, foi corrigido um bloqueio mútuo que ocorria durante o reinício ou ao exceder o limite MaxConnectionsPerChild em sistemas de alta carga.
Fonte: opennet.ru
