Objavljena je bila izdaja strežnika Apache HTTP 2.4.56, ki uvaja 6 sprememb in odpravlja 2 ranljivosti, povezani z možnostjo izvajanja napadov »HTTP Request Smuggling« na sisteme front-end-back-end, kar omogoča zagozditev v vsebina zahtev drugih uporabnikov, obdelanih v isti niti med sprednjim in zadnjim delom. Napad se lahko uporabi za obhod sistemov za omejevanje dostopa ali vstavljanje zlonamerne kode JavaScript v sejo z zakonitim spletnim mestom.
Prva ranljivost (CVE-2023-27522) vpliva na modul mod_proxy_uwsgi in omogoča, da se odgovor razdeli na dva dela na strani strežnika proxy prek zamenjave posebnih znakov v glavi HTTP, ki jo vrne zaledje.
Druga ranljivost (CVE-2023-25690) je prisotna v mod_proxy in se pojavi pri uporabi določenih pravil za prepisovanje zahtev z uporabo direktive RewriteRule, ki jo zagotavlja modul mod_rewrite, ali določenih vzorcev v direktivi ProxyPassMatch. Ranljivost bi lahko privedla do zahteve prek proxyja za notranje vire, do katerih je dostop prek proxyja prepovedan, ali do zastrupitve vsebine predpomnilnika. Da se ranljivost manifestira, je potrebno, da pravila za prepis zahteve uporabljajo podatke iz URL-ja, ki se nato zamenjajo v zahtevo, ki se pošlje naprej. Na primer: RewriteEngine on RewriteRule “^/here/(.*)” » http://example.com:8080/elsewhere?$1″ http://example.com:8080/elsewhere ; [P] ProxyPassReverse /tukaj/ http://example.com:8080/ http://example.com:8080/
Med nevarnostnimi spremembami:
- Pripomočku rotatelogs je bila dodana zastavica »-T«, ki omogoča obrezovanje naslednjih dnevniških datotek, ne da bi skrajšali začetno dnevniško datoteko.
- mod_ldap dovoljuje negativne vrednosti v direktivi LDAPConnectionPoolTTL za konfiguracijo ponovne uporabe vseh starih povezav.
- Modul mod_md, ki se uporablja za avtomatizacijo prejemanja in vzdrževanja potrdil z uporabo protokola ACME (Samodejno okolje za upravljanje potrdil), ko je preveden z libressl 3.5.0+, vključuje podporo za shemo digitalnega podpisa ED25519 in upoštevanje informacij v dnevniku javnih potrdil (CT , Preglednost potrdila). Direktiva MDChallengeDns01 omogoča definiranje nastavitev za posamezne domene.
- mod_proxy_uwsgi je poostril preverjanje in razčlenjevanje odgovorov iz ozadja HTTP.
Vir: opennet.ru