Foi lançado o Apache HTTP Server 2.4.56, que apresenta 6 alterações e corrige 2 vulnerabilidades relacionadas à possibilidade de ataques do tipo 'HTTP Request Smuggling' em sistemas front-end/back-end, permitindo a interferência no conteúdo das requisições de outros usuários processadas no mesmo fluxo entre o front-end e o back-end. O ataque pode ser utilizado para contornar sistemas de controle de acesso ou injetar código JavaScript malicioso em uma sessão com um site legítimo.
A primeira vulnerabilidade (CVE-2023-27522) afeta o módulo mod_proxy_uwsgi e permite que, no lado do proxy, a resposta seja dividida em duas partes através da inserção de caracteres especiais no cabeçalho HTTP retornado pelo back-end.
A segunda vulnerabilidade (CVE-2023-25690) está presente no mod_proxy e se manifesta ao usar algumas regras de reescrita de requisições com a diretiva RewriteRule, fornecida pelo módulo mod_rewrite, ou certos padrões na diretiva ProxyPassMatch. A vulnerabilidade pode levar a requisições através do proxy a recursos internos, cujo acesso é negado pelo proxy, ou à contaminação do conteúdo do cache. Para que a vulnerabilidade se manifeste, deve haver o uso de dados da URL nas regras de reescrita da requisição, que são então inseridos na requisição enviada. Por exemplo: RewriteEngine on RewriteRule "^\/here\/(.*)" http:\/\/example.com:8080\/elsewhere?$1" http:\/\/example.com:8080\/elsewhere ; [P] ProxyPassReverse \/here\/ http:\/\/example.com:8080\/ http:\/\/example.com:8080\/
Entre as alterações não relacionadas à segurança:
- Foi adicionado o sinalizador '-T' ao utilitário rotatelogs, permitindo que durante a rotação de logs, os arquivos de log subsequentes sejam truncados sem truncar o arquivo de log inicial.
- No mod_ldap, agora é permitido especificar valores negativos na diretiva LDAPConnectionPoolTTL para configurar o reuso de quaisquer conexões antigas.
- No módulo mod_md, utilizado para automação da obtenção e manutenção de certificados usando o protocolo ACME (Automatic Certificate Management Environment), ao ser compilado com libressl 3.5.0+, foi incluído suporte para o esquema de assinatura digital ED25519 e para a contagem de informações do log público de certificados (CT, Certificate Transparency). Na diretiva MDChallengeDns01, é permitido definir configurações para domínios específicos.
- No mod_proxy_uwsgi, a verificação e a análise das respostas dos back-ends HTTP foram reforçadas.
Fonte: opennet.ru
