Release av http-servern Apache 2.4.54 med åtgärdade sårbarheter

Apache HTTP-server version 2.4.53 har publicerats med 19 ändringar och 8 sårbarheter åtgärdade:

• CVE-2022-31813 — en sårbarhet i mod_proxy som tillåter blockering av vidarebefordrade X-Forwarded-* rubriker med information om den ursprungliga IP-adressen. Problemet kan utnyttjas för att kringgå IP-adress åtkomstbegränsningar.
• CVE-2022-30556 — en sårbarhet i mod_lua som tillåter åtkomst till data utanför den tilldelade bufferten genom manipulation av funktionen r:wsread() i Lua-skript.
• CVE-2022-30522 — en serviceavbrott (uttömning av tillgängligt minne) vid behandling av viss data i modulen mod_sed.
• CVE-2022-29404 — serviceavbrott i mod_lua, utnyttjas genom att skicka specialformat förfrågningar till Lua-hanterare som använder anropet r:parsebody(0).
• CVE-2022-28615, CVE-2022-28614 — serviceavbrott eller åtkomst till data i processminnet på grund av fel i funktionerna ap_strcmp_match() och ap_rwrite(), vilket leder till läsning från områden utanför bufferten.
• CVE-2022-28330 — informationsläcka från områden utanför buffertens gränser i mod_isapi (problemet uppträder endast på Windows-plattformen).
• CVE-2022-26377 — modulen mod_proxy_ajp är sårbar för "HTTP Request Smuggling" attacker mot frontend-backend system, vilket gör det möjligt att infiltrera innehållet i andra användares förfrågningar som behandlas i samma tråd mellan frontend och backend.

De mest märkbara förändringarna, orelaterade till säkerhet:

• I mod_ssl har kompatibiliteten för SSLFIPS-läget med OpenSSL 3.0 säkerställts.
• Stödet för TLSv1.3 har implementerats i kommandoradsverktyget ab (kräver länkning till SSL-ett bibliotek som stöder detta protokoll).
• I mod_md har direktivet MDCertificateAuthority tillåtit användningen av mer än ett namn och URL för certifikatutfärdare. Nya direktiv har lagts till: MDRetryDelay (definierar fördröjningen före en omförfrågan) och MDRetryFailover (definierar antalet försök vid fel innan alternativ certifikatutfärdare väljs). Stödet för "auto" tillstånd har lagts till vid utmatning av värden i formatet "key: value." Möjligheten att hantera certifikat för användare av skyddad VPN-nätverket Tailscale har upphört.
• Modulen mod_http2 har rensats från oanvänd och osäker kod.
• I mod_proxy har nätverksporten för backend reflekterats i felmeddelanden som skrivs till loggen.
• I mod_heartmonitor har värdet för parametern HeartbeatMaxServers ändrats från 0 till 10 (initialisering av 10 delade minnesplatser).

Källa: opennet.ru