Është publikuar lëshimi i Apache HTTP Server 2.4.53, i cili prezanton 14 ndryshime dhe rregullon 4 dobësi:
- CVE-2022-22720 - mundësia e kryerjes së një sulmi të kontrabandës së kërkesës HTTP, i cili lejon, duke dërguar kërkesa të klientëve të dizajnuara posaçërisht, të futet në përmbajtjen e kërkesave të përdoruesve të tjerë të transmetuara përmes mod_proxy (për shembull, mund të arrini zëvendësimin e keqdashësve Kodi JavaScript në sesionin e një përdoruesi tjetër të faqes). Problemi shkaktohet nga lënia e hapur e lidhjeve hyrëse pasi hasni gabime gjatë përpunimit të një trupi kërkese të pavlefshme.
- CVE-2022-23943 - Një tejmbushje buferi në modulin mod_sed që lejon mbishkrimin e përmbajtjes së kujtesës së grumbullit me të dhëna të kontrolluara nga sulmuesi.
- CVE-2022-22721 - Shkruani jashtë kufijve për shkak të një tejkalimi të numrit të plotë që ndodh kur kaloni një trup kërkese më të madhe se 350 MB. Problemi shfaqet në sistemet 32-bitësh në cilësimet e të cilëve vlera LimitXMLRequestBody është vendosur shumë e lartë (si parazgjedhje 1 MB, për një sulm kufiri duhet të jetë më i lartë se 350 MB).
- CVE-2022-22719 është një cenueshmëri në mod_lua që lejon leximin e zonave të rastësishme të memories dhe prishjen e procesit kur përpunohet një trup kërkese e krijuar posaçërisht. Problemi është shkaktuar nga përdorimi i vlerave të painitializuara në kodin e funksionit r:parsebody.
Ndryshimet më të dukshme jo të sigurisë janë:
- Në mod_proxy, kufiri në numrin e karaktereve në emrin e mbajtësit (punëtorit) është rritur. U shtua aftësia për të konfiguruar në mënyrë selektive afatet kohore për fundin dhe pjesën e përparme (për shembull, në lidhje me një punonjës). Për kërkesat e dërguara nëpërmjet prizave të internetit ose metodës CONNECT, koha e skadimit është ndryshuar në vlerën maksimale të vendosur për pjesën e pasme dhe frontin.
- Trajtim i ndarë i hapjes së skedarëve DBM dhe ngarkimit të drejtuesit të DBM. Në rast përplasjeje, regjistri tani shfaq informacion më të detajuar në lidhje me gabimin dhe drejtuesin.
- mod_md ndaloi përpunimin e kërkesave për /.well-known/acme-challenge/ përveç nëse cilësimet e domenit mundësonin në mënyrë eksplicite përdorimin e llojit të sfidës "http-01".
- mod_dav rregulloi një regresion që shkaktoi konsum të lartë të memories gjatë përpunimit të një numri të madh burimesh.
- U shtua aftësia për të përdorur bibliotekën pcre2 (10.x) në vend të pcre (8.x) për përpunimin e shprehjeve të rregullta.
- Mbështetja për analizën e anomalive LDAP është shtuar në filtrat e pyetjeve për të kontrolluar saktë të dhënat kur tentoni sulme të zëvendësimit të LDAP.
- Në mpm_event, një bllokim që ndodh kur riniset ose tejkalohet kufiri MaxConnectionsPerChild në sistemet me ngarkesë të lartë është rregulluar.
Burimi: opennet.ru