Bol vydaná verzia HTTP servera Apache 2.4.56, ktorá prináša 6 zmien a odstránila 2 zraniteľnosti súvisiace s možnosťou vykonania útokov typu „HTTP Request Smuggling“ na systémy front-end a back-end, čo umožňuje preniknúť do obsahu požiadaviek iných používateľov spracovávaných v tej istej vlne medzi front-endom a back-endom. Útok môže byť použitý na obídenie systémov obmedzenia prístupu alebo na vloženie škodlivého JavaScriptového kódu do relácie s legitímnym webom.
Prvá zraniteľnosť (CVE-2023-27522) sa týka modulu mod_proxy_uwsgi a umožňuje na strane proxy rozdeliť odpoveď na dve časti prostredníctvom vloženia špeciálnych znakov do vracanej HTTP hlavičky backendu.
Druhá zraniteľnosť (CVE-2023-25690) sa vyskytuje v mod_proxy a prejavuje sa pri používaní niektorých pravidiel prepisu požiadaviek pomocou direktívy RewriteRule poskytovanej modulom mod_rewrite, alebo určitými vzormi v direktíve ProxyPassMatch. Zraniteľnosť môže viesť k požiadavke cez proxy na vnútorné zdroje, ktorých prístup cez proxy je zakázaný, alebo k kontaminácii obsahu cache. Na prejavenie zraniteľnosti je potrebné, aby v pravidlách prepisu požiadaviek boli použité údaje z URL, ktoré boli následne vložené do zasielanej požiadavky. Napríklad: RewriteEngine on RewriteRule „^/here/(.*)“ » http://example.com:8080/elsewhere?$1″ http://example.com:8080/elsewhere ; [P] ProxyPassReverse /here/ http://example.com:8080/ http://example.com:8080/
Medzi zmenami, ktoré nesúvisia so zabezpečením:
- Do nástroja rotatelogs bol pridaný príznak „-T“, ktorý umožňuje pri rotácii logov vykonávať skrátenie nasledujúcich logovacích súborov bez skrátenia počiatočného logu.
- V mod_ldap je povolené určiť v direktíve LDAPConnectionPoolTTL záporné hodnoty na nastavenie opätovného použitia akýchkoľvek starých spojení.
- V module mod_md, ktorý sa používa na automatizáciu získavania a správy certifikátov pomocou protokolu ACME (Automatic Certificate Management Environment), pri zostavení s libressl 3.5.0+ bola zahrnutá podpora schémy digitálneho podpisu ED25519 a zohľadnenia informácií verejného logu certifikátov (CT, Certificate Transparency). V direktíve MDChallengeDns01 je povolené určiť nastavenia pre jednotlivé domény.
- V mod_proxy_uwsgi bola sprísnená kontrola a analýza odpovedí od HTTP backendov.
Zdroj: opennet.ru
