Apache 2.4.56 http-server har lanserats med säkerhetsåtgärder.

Apache HTTP-server 2.4.56 har släppts, vilket inkluderar 6 förändringar och åtgärdar 2 sårbarheter kopplade till möjligheten till "HTTP Request Smuggling"-attacker mot frontend-backend-system, vilket möjliggör inbrytning i innehållet av andra användares förfrågningar som behandlas i samma tråd mellan frontend och backend. Attacken kan användas för att kringgå accessbegränsningssystem eller injicera skadlig JavaScript-kod i en session med en legitim webbplats.

Den första sårbarheten (CVE-2023-27522) påverkar modulen mod_proxy_uwsgi och gör det möjligt på proxiesidan att dela upp svaret i två delar genom att infoga speciella tecken i HTTP-rubriken som returneras av backend.

Den andra sårbarheten (CVE-2023-25690) finns i mod_proxy och uppstår vid användning av vissa regler för omskrivning av förfrågningar med hjälp av direktivet RewriteRule som tillhandahålls av modulen mod_rewrite, eller vissa mallar i direktivet ProxyPassMatch. Sårbarheten kan leda till förfrågningar genom proxy för interna resurser som är blockerade via proxy, eller till förgiftning av cacheinnehåll. För att sårbarheten ska manifestera sig måste uppslagsdata från URL användas i omskrivningsreglerna för förfrågningar, som sedan infogas i den vidare skickade förfrågan. Till exempel: RewriteEngine on RewriteRule "^\/here\/(.*)" " http:\/\/example.com:8080\/elsewhere?$1" http:\/\/example.com:8080\/elsewhere ; [P] ProxyPassReverse \/here\/ http:\/\/example.com:8080\/

Bland ändringarna som inte rör säkerhet:

• Flaggan "-T" har lagts till i verktyget rotatelogs, vilket möjliggör förkortning av efterföljande loggfiler utan att korta ner den ursprungliga loggfilen vid loggrotation.
• I mod_ldap har negativa värden tillåtits i direktivet LDAPConnectionPoolTTL för att konfigurera återanvändning av gamla anslutningar.
• I modulen mod_md, som används för att automatisera utfärdande och underhåll av certifikat med hjälp av ACME-protokollet (Automatic Certificate Management Environment), har stöd för standarden ED25519 för digitala signaturer och hantering av information om offentliga certifikatloggar (CT, Certificate Transparency) inkluderats vid kompilering med libressl 3.5.0+. I direktivet MDChallengeDns01 har inställningar för specifika domäner tillåtits.
• I mod_proxy_uwsgi har kontrollen och analysen av svaren från HTTP-backends skärpats.

Källa: opennet.ru