Vydanie http-servera Apache 2.4.54 s odstránením zraniteľností

Bol vydaný Apache HTTP server vo verzii 2.4.53, ktorý prináša 19 zmien a rieši 8 zraniteľností:

• CVE-2022-31813 — zraniteľnosť v mod_proxy, ktorá umožňuje blokovať odosielanie hlavičiek X-Forwarded-* obsahujúcich informácie o IP adrese pôvodného požiadavku. Problém môže byť využitý na obídenie obmedzení prístupu na základe IP adries.
• CVE-2022-30556 — zraniteľnosť v mod_lua, ktorá umožňuje prístup k údajom mimo vyhradeného smerovača prostredníctvom manipulácie s funkciou r:wsread() v skriptoch Lua.
• CVE-2022-30522 — odmietnutie služby (vyčerpanie dostupnej pamäte) pri spracovaní určitých údajov modulom mod_sed.
• CVE-2022-29404 — odmietnutie služby v mod_lua, ktoré sa využíva prostredníctvom odosielania špeciálne formátovaných požiadaviek Lua spracovateľom, ktorí používajú volanie r:parsebody(0).
• CVE-2022-28615, CVE-2022-28614 — odmietnutie služby alebo prístup k údajom v pamäti procesu kvôli chybám vo funkciách ap_strcmp_match() a ap_rwrite(), ktoré spôsobujú čítanie z oblasti za hranicami smerovača.
• CVE-2022-28330 — únik informácií z oblastí mimo hraníc smerovača v mod_isapi (problém sa prejavuje iba na platforme Windows).
• CVE-2022-26377 — modul mod_proxy_ajp je náchylný na útoky typu „HTTP Request Smuggling“ na front-end back-end systémy, čo umožňuje vloženie do obsahu požiadaviek iných používateľov, ktoré sa spracovávajú v tom istom vlákne medzi front-endom a back-endom.

Najvýraznejšie zmeny, ktoré sa netýkajú bezpečnosti:

• V mod_ssl bola zabezpečená kompatibilita režimu SSLFIPS s OpenSSL 3.0.
• V utilite ab bola implementovaná podpora TLSv1.3 (vyžaduje prepojenie s SSL-knihovňou, ktorá podporuje tento protokol).
• V mod_md v direktíve MDCertificateAuthority bolo povolené použitie viacerých mien a URL certifikačného úradu. Pridané nové direktívy: MDRetryDelay (určuje časovú prodlevu pred odoslaním opätovného požiadavku) a MDRetryFailover (určuje počet pokusov v prípade zlyhania pred zvolením alternatívneho certifikačného úradu). Pridaná podpora stavu „auto“ pri výstupe hodnôt vo formáte „key: value“. Poskytla sa možnosť spravovať certifikáty pre používateľov zabezpečených VPN-pre sieť Tailscale.
• Prebehla údržba modulu mod_http2, pri ktorej sa odstránil nepoužívaný a nebezpečný kód.
• V mod_proxy bolo zabezpečené zobrazenie sieťového portu back-endu v hláseniach o chybách, ktoré sú zapisované do logu.
• V mod_heartmonitor bola hodnota parametra HeartbeatMaxServers zmenená z 0 na 10 (inicializácia 10 slotov zdieľanej pamäte).

Zdroj: opennet.ru