Foi lançado o Apache HTTP Server 2.4.53, que apresenta 19 alterações e corrige 8 vulnerabilidades:
- CVE-2022-31813 — vulnerabilidade no mod_proxy que permite bloquear o envio dos cabeçalhos X-Forwarded-* com informações sobre o endereço IP de origem do pedido original. O problema pode ser explorado para contornar restrições de acesso por IP.
- CVE-2022-30556 — vulnerabilidade no mod_lua que permite o acesso a dados fora do buffer alocado através da manipulação da função r:wsread() em scripts Lua.
- CVE-2022-30522 — negação de serviço (esgotamento da memória disponível) ao processar determinados dados pelo módulo mod_sed.
- CVE-2022-29404 — negação de serviço no mod_lua, explorada através do envio de pedidos especialmente formatados aos manipuladores Lua que utilizam a chamada r:parsebody(0).
- CVE-2022-28615, CVE-2022-28614 — negação de serviço ou acesso a dados na memória do processo devido a erros nas funções ap_strcmp_match() e ap_rwrite(), levando à leitura fora da área do buffer.
- CVE-2022-28330 — vazamento de informações de áreas fora dos limites do buffer no mod_isapi (o problema ocorre apenas na plataforma Windows).
- CVE-2022-26377 — o módulo mod_proxy_ajp é vulnerável a ataques de "HTTP Request Smuggling" em sistemas front-end/back-end, permitindo a inserção no conteúdo de pedidos de outros usuários que estão sendo processados no mesmo fluxo entre o front-end e o back-end.
As modificações mais notáveis, não relacionadas à segurança:
- No mod_ssl, a compatibilidade do modo SSLFIPS com o OpenSSL 3.0 foi garantida.
- Na ferramenta ab, a suportação ao TLSv1.3 foi implementada (é necessário vincular com SSL-uma biblioteca que suporte esse protocolo).
- No mod_md, na diretiva MDCertificateAuthority, foi permitido o uso de mais de um nome e URL da autoridade certificadora. Novas diretivas foram adicionadas: MDRetryDelay (define a pausa antes do envio de um pedido de repetição) e MDRetryFailover (define o número de tentativas antes de escolher uma autoridade certificadora alternativa). Foi adicionada a suportação do estado "auto" ao imprimir valores no formato "key: value". Foi oferecida a possibilidade de gerenciar certificados para usuários protegidos. VPN-a rede Tailscale foi descontinuado.
- O módulo mod_http2 foi limpo de código não utilizado e inseguro.
- No mod_proxy, foi garantido o reflexo da porta de rede do back-end nas mensagens de erro registradas no log.
- No mod_heartmonitor, o valor do parâmetro HeartbeatMaxServers foi alterado de 0 para 10 (inicializando 10 slots de memória compartilhada).
Fonte: opennet.ru
