Objavljeno izdanje HTTP servera Apache 2.4.53, koje sadrži 19 promena i ispravlja 8 sigurnosnih propusta:
- CVE-2022-31813 — sigurnosni propust u mod_proxy, koji omogućava blokiranje slanja X-Forwarded-* zaglavlja s informacijama o IP adresi sa koje je došlo originalno zahtev. Problem se može iskoristiti za zaobilaženje IP pristupnih ograničenja.
- CVE-2022-30556 — sigurnosni propust u mod_lua, koji omogućava pristup podacima izvan dodeljenog bafera putem manipulacije funkcijom r:wsread() u Lua skriptama.
- CVE-2022-30522 — uskraćivanje usluge (istrpljenje dostupne memorije) pri obradi određenih podataka od strane modula mod_sed.
- CVE-2022-29404 — uskraćivanje usluge u mod_lua, iskorišćeno slanjem posebno oblikovanih zahteva Lua obradi, koji koriste poziv r:parsebody(0).
- CVE-2022-28615, CVE-2022-28614 — uskraćivanje usluge ili pristup podacima u memoriji procesa zbog grešaka u funkcijama ap_strcmp_match() i ap_rwrite(), koje dovode do čitanja izvan granica bafera.
- CVE-2022-28330 — curenje informacija izvan granica bafera u mod_isapi (problem se javlja samo na Windows platformi).
- CVE-2022-26377 — modul mod_proxy_ajp podložan je napadima klase "HTTP Request Smuggling" na frontend-backend sisteme, omogućavajući da se ugrađuju u sadržaj zahteva drugih korisnika koji se obrađuju u istom toku između frontend-a i backend-a.
Najistaknutije izmjene vezane uz sigurnost:
- U mod_ssl obezbeđena je kompatibilnost SSLFIPS moda sa OpenSSL 3.0.
- U alatu ab implementirana je podrška za TLSv1.3 (neophodno je povezivanje s SSL-bibliotekom koja podržava ovaj protokol).
- U mod_md u direktivi MDCertificateAuthority omogućeno je korišćenje više od jednog imena i URL-a sertifikacione vlasti. Dodate su nove direktive: MDRetryDelay (određuje kašnjenje pre slanja ponovljenog zahteva) i MDRetryFailover (određuje broj ponovljenih pokušaja u slučaju neuspeha pre izbora alternativne sertifikacione vlasti). Dodata je podrška za stanje "auto" pri ispisu vrednosti u formatu "key: value". Omogućeno je upravljanje sertifikatima za korisnike zaštićene VPN-mreže Tailscale.
- Urađena je čišćenje modula mod_http2 od neiskorišćenog i nesigurnog koda.
- U mod_proxy omogućen je odraz mrežnog porta backend-a u porukama o greškama beleženim u logu.
- V mod_heartmonitor je vrednost parametra HeartbeatMaxServers spremenjena iz 0 na 10 (inicializacija 10 slotov deljene pomnilnika).
Izvor: opennet.ru
