Utgåvan av http-servern Apache 2.4.53 med åtgärd av farliga sårbarheter

Utgåvan av HTTP-servern Apache 2.4.53 har offentliggjorts, där 14 ändringar införts och 4 sårbarheter åtgärdats:

• CVE-2022-22720 – möjlighet till ”HTTP Request Smuggling”-attacker, som gör det möjligt att infiltrera innehållet i andra användares begärningar genom att skicka särskilt utformade klientbegärningar via mod_proxy (till exempel kan man åstadkomma insättning av skadlig JavaScript-kod i en annan användares session på webbplatsen). Problemet orsakas av att inaktiva anslutningar lämnas öppna efter fel som uppstod vid hantering av en felaktig kropp i begäran.
• CVE-2022-23943 – buffertöverskridning i modulen mod_sed, vilket gör det möjligt att skriva över minnesinnehåll med data som kontrolleras av angriparen.
• CVE-2022-22721 – möjlighet till skrivning utanför bufferten på grund av ett heltalsöverskridande som uppstår när man skickar en begäran med en kropp som är större än 350 MB. Problemet uppstår på 32-bitars system där inställningen för LimitXMLRequestBody är för stor (standard är 1 MB, för en attack måste gränsen vara över 350 MB).
• CVE-2022-22719 – sårbarhet i mod_lua, som tillåter läsning av slumpmässiga minnesområden och krasch av processen vid behandling av en särskilt utformad begäran. Problemet orsakas av användning av oinitialiserade värden i koden för funktionen r:parsebody.

De mest märkbara förändringarna, orelaterade till säkerhet:

• I mod_proxy har gränsen för antalet tecken i handlares (worker) namn höjts. Möjlighet till selektiv inställning av timeoutar för backend och frontend har lagts till (till exempel knutet till en worker). För begärningar som skickas via websockets eller metoden CONNECT har timeouten ändrats till det maximala värde som ställts in för backend och frontend.
• Behandlingen av öppning av DBM-filer och laddning av DBM-drivrutinen har delats upp. Vid ett fel i loggen visas nu mer detaljerad information om felet och drivrutinen.
• I mod_md har behandlingen av begärningar till /.well-known/acme-challenge/ upphört, om inte inställningarna domän uttryckligt tillåter användning av kontrolltyp ‘http-01.
• I mod_dav har en regressiv ändring åtgärdats som ledde till hög minnesanvändning vid hantering av ett stort antal resurser.
• En möjlighet att använda biblioteket pcre2 (10.x) istället för pcre (8.x) för bearbetning av reguljära uttryck har lagts till.
• Stödet för analys av anomalier för LDAP-protokollet har lagts till i sökfilter för korrekt indelning av data vid försök att utföra LDAP-injektionsattacker.
• I mpm_event har en dödlockssituation åtgärdats som uppstod vid omstart eller överskridande av gränsen MaxConnectionsPerChild i högbelastade system.

Källa: opennet.ru