A fost publicată lansarea serverului Apache HTTP 2.4.56, care introduce 6 modificări și elimină 2 vulnerabilități asociate cu posibilitatea de a efectua atacuri „HTTP Request Smuggling” asupra sistemelor front-end-back-end, permițând accesul în conținutul solicitărilor altor utilizatori procesate în același fir între frontend și backend. Atacul poate fi folosit pentru a ocoli sistemele de restricție de acces sau pentru a introduce cod JavaScript rău intenționat într-o sesiune cu un site web legitim.
Prima vulnerabilitate (CVE-2023-27522) afectează modulul mod_proxy_uwsgi și permite ca răspunsul să fie împărțit în două părți pe partea proxy prin înlocuirea caracterelor speciale în antetul HTTP returnat de backend.
A doua vulnerabilitate (CVE-2023-25690) este prezentă în mod_proxy și apare atunci când se utilizează anumite reguli de rescriere a cererilor folosind directiva RewriteRule furnizată de modulul mod_rewrite sau anumite modele din directiva ProxyPassMatch. Vulnerabilitatea ar putea duce la o solicitare prin intermediul unui proxy pentru resurse interne care nu au voie să fie accesate printr-un proxy sau la otrăvirea conținutului cache-ului. Pentru ca vulnerabilitatea să se manifeste, este necesar ca regulile de rescriere a cererii să utilizeze date de la URL, care sunt apoi înlocuite în cererea care este trimisă în continuare. De exemplu: RewriteEngine pe RewriteRule „^/here/(.*)” » http://example.com:8080/elsewhere?$1″ http://example.com:8080/elsewhere ; [P] ProxyPassReverse /aici/ http://example.com:8080/ http://example.com:8080/
Printre modificările non-securitate:
- Indicatorul „-T” a fost adăugat la utilitarul rotatelogs, care permite, la rotirea jurnalelor, trunchierea fișierelor jurnal ulterioare fără a trunchia fișierul jurnal inițial.
- mod_ldap permite valorilor negative din directiva LDAPConnectionPoolTTL pentru a configura reutilizarea oricăror conexiuni vechi.
- Modulul mod_md, utilizat pentru a automatiza primirea și întreținerea certificatelor folosind protocolul ACME (Automatic Certificate Management Environment), atunci când este compilat cu libressl 3.5.0+, include suport pentru schema de semnătură digitală ED25519 și contabilizarea informațiilor din jurnalul de certificate publice (CT). , Certificat de transparență). Directiva MDChallengeDns01 permite definirea setărilor pentru domenii individuale.
- mod_proxy_uwsgi a înăsprit verificarea și analizarea răspunsurilor de la backend-urile HTTP.
Sursa: opennet.ru
