Pelepasan server Apache HTTP 2.4.56 parantos diterbitkeun, anu ngenalkeun 6 parobihan sareng ngaleungitkeun 2 kerentanan anu aya hubunganana sareng kamungkinan ngalaksanakeun serangan "HTTP Request Smuggling" dina sistem hareup-tungtung-tukang-tungtung, ngamungkinkeun pikeun ngaganjel kana eusi requests pamaké séjén 'diolah dina thread sarua antara frontend jeung backend. Serangan éta tiasa dianggo pikeun ngalangkungan sistem larangan aksés atanapi nyelapkeun kode JavaScript jahat kana sési sareng halaman wéb anu sah.
Kerentanan munggaran (CVE-2023-27522) mangaruhan modul mod_proxy_uwsgi sareng ngamungkinkeun réspon dibagi jadi dua bagian dina sisi proxy ngaliwatan substitusi karakter khusus dina header HTTP anu dipulangkeun ku backend.
The kerentanan kadua (CVE-2023-25690) hadir dina mod_proxy sarta lumangsung nalika ngagunakeun aturan nulis balik pamundut tangtu ngagunakeun diréktif RewriteRule disadiakeun ku modul mod_rewrite, atawa pola tangtu dina diréktif ProxyPassMatch. Kerentanan bisa ngakibatkeun pamundut ngaliwatan proxy pikeun sumber internal, aksés ka nu dilarang ngaliwatan proxy, atawa karacunan eusi cache. Pikeun kerentanan pikeun manifest, perlu yén aturan nulis ulang pamundut ngagunakeun data tina URL, nu lajeng diganti kana pamundut nu dikirim salajengna. Contona: RewriteEngine on RewriteRule "^/here/(.*)" » http://example.com:8080/elsewhere?$1″ http://example.com:8080/elsewhere; [P] ProxyPassReverse / dieu / http://example.com:8080/ http://example.com:8080/
Diantara parobahan non-kaamanan:
- Bandéra "-T" geus ditambahkeun kana utilitas rotatelogs, anu ngamungkinkeun, nalika muterkeun log, motong file log saterusna tanpa motong file log awal.
- mod_ldap ngamungkinkeun nilai négatip dina LDAPConnectionPoolTTL diréktif pikeun ngonpigurasikeun pamakéan deui tina sagala sambungan heubeul.
- Mod_md modul, dipaké pikeun ngajadikeun otomatis resi jeung pangropéa sertipikat maké protokol ACME (Otomatis Manajemén Sertipikat Lingkungan), lamun disusun kalawan libressl 3.5.0+, ngawengku rojongan pikeun ED25519 skéma tanda tangan digital sarta akuntansi pikeun informasi log sertipikat publik (CT). , Transparansi Sertipikat). Diréktif MDChallengeDns01 ngamungkinkeun definisi setélan pikeun domain individu.
- mod_proxy_uwsgi geus tightened mariksa jeung parsing réspon ti backends HTTP.
sumber: opennet.ru