Izid http strežnika Apache 2.4.56 z odpravo ranljivosti

Objavljen je izid HTTP strežnika Apache 2.4.56, ki prinaša 6 sprememb in odpravlja 2 ranljivosti, povezani z možnostjo izvedbe napadov tipa 'HTTP Request Smuggling' na sisteme frontend-backend, ki omogočajo vmešavanje v vsebino zahtevkov drugih uporabnikov, obdelanih v istem toku med frontendom in backendom. Napad se lahko uporabite za obhod sistemov nadzora dostopa ali za vstavitev zlonamernega JavaScript kode v sejo z zakonito spletno stranjo.

Prva ranljivost (CVE-2023-27522) se nanaša na modul mod_proxy_uwsgi in omogoča na strani proxyja ločitev odgovora na dva dela s postopkom vstavitve posebnih znakov v HTTP glavi, ki jo vrne backend.

Druga ranljivost (CVE-2023-25690) je prisotna v mod_proxy in se pojavlja pri uporabi nekaterih pravil prepisovanja zahtevkov prek direktive RewriteRule, ki jo zagotavlja modul mod_rewrite, ali določenih predlog v direktivi ProxyPassMatch. Ranljivost lahko privede do pošiljanja zahtevkov prek proxyja do notranjih virov, katerih dostop prek proxyja je prepovedan, ali do onesnaženja vsebine predpomnilnika. Za pojav te ranljivosti je potrebno, da se v pravilih prepisovanja zahtevkov uporabijo podatki iz URL, ki se nato vstavijo v poslan nadaljnji zahtevek. Na primer: RewriteEngine on RewriteRule "^\/here\/(.*)" " http:\/\/example.com:8080\/elsewhere?$1" http:\/\/example.com:8080\/elsewhere ; [P] ProxyPassReverse \/here\/ http:\/\/example.com:8080\/ http:\/\/example.com:8080\/

Među promjenama koje nisu povezane s sigurnošću:

• V orodje rotatelogs je dodana zastavica "-T", ki omogoča pri rotaciji dnevnikov pretrgati naslednje dnevniške datoteke brez pretrganja začetne dnevniške datoteke.
• V mod_ldap je omogočeno določanje negativnih vrednosti v direktivi LDAPConnectionPoolTTL za nastavitev ponovne uporabe kateregakoli starega povezovanja.
• V modulu mod_md, ki se uporablja za avtomatizacijo pridobivanja in vzdrževanja potrdil z uporabo protokola ACME (Automatic Certificate Management Environment), je pri gradnji z libressl 3.5.0+ vključena podpora za shemo digitalnega podpisa ED25519 in upoštevanje informacij iz javnega dnevnika potrdil (CT, Certificate Transparency). V direktivi MDChallengeDns01 je omogočeno določanje nastavitev za posamezne domene.
• V mod_proxy_uwsgi je bila zaostrena preverba in razčlenitev odgovorov od HTTP backendov.

Izvor: opennet.ru