Utgivningen av Apache HTTP Server 2.4.53 har publicerats, som introducerar 14 ändringar och fixar 4 sårbarheter:
- CVE-2022-22720 - möjligheten att utföra en HTTP Request Smuggling-attack, som gör det möjligt att, genom att skicka specialdesignade klientförfrågningar, kila in i innehållet i andra användares förfrågningar som överförs via mod_proxy (du kan till exempel uppnå ersättning av skadlig JavaScript-kod till sessionen för en annan användare av webbplatsen). Problemet orsakas av att inkommande anslutningar lämnas öppna efter att ha stött på fel vid bearbetning av en ogiltig begäran.
- CVE-2022-23943 - Ett buffertspill i mod_sed-modulen som gör det möjligt att skriva över innehållet i heapminnet med angriparkontrollerad data.
- CVE-2022-22721 - Skriv utanför gränserna på grund av ett heltalsspill som uppstår när en begärandekropp som är större än 350 MB skickas. Problemet visar sig på 32-bitars system i vars inställningar LimitXMLRequestBody-värdet är för högt (som standard 1 MB, för en attack måste gränsen vara högre än 350 MB).
- CVE-2022-22719 är en sårbarhet i mod_lua som tillåter läsning av slumpmässiga minnesområden och kraschar processen vid bearbetning av en specialgjord begärandekropp. Problemet orsakas av användningen av oinitierade värden i funktionskoden r:parsebody.
De mest anmärkningsvärda icke-säkerhetsändringarna är:
- I mod_proxy har gränsen för antalet tecken i namnet på hanteraren (arbetaren) ökats. Lade till möjligheten att selektivt konfigurera timeouts för backend och frontend (till exempel i förhållande till en arbetare). För förfrågningar som skickas via websockets eller CONNECT-metoden har timeouten ändrats till det maximala värdet för backend och frontend.
- Separerad hantering av att öppna DBM-filer och ladda DBM-drivrutinen. I händelse av en krasch visar loggen nu mer detaljerad information om felet och drivrutinen.
- mod_md slutade bearbeta förfrågningar till /.well-known/acme-challenge/ om inte domäninställningarna uttryckligen möjliggjorde användningen av utmaningstypen 'http-01'.
- mod_dav fixade en regression som orsakade hög minnesförbrukning vid bearbetning av ett stort antal resurser.
- Lade till möjligheten att använda pcre2 (10.x)-biblioteket istället för pcre (8.x) för att bearbeta reguljära uttryck.
- Stöd för LDAP-anomalianalys har lagts till i frågefilter för att korrekt screena data vid försök med LDAP-substitutionsattacker.
- I mpm_event har ett dödläge som uppstår vid omstart eller överskridande av MaxConnectionsPerChild-gränsen på högt belastade system åtgärdats.
Källa: opennet.ru