{"id":103543,"date":"2022-03-15T09:37:16","date_gmt":"2022-03-15T07:37:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/reliz-http-servera-apache-2-4-53-s-ustraneniem-opasnyh-uyazvimostej"},"modified":"2022-03-15T09:37:16","modified_gmt":"2022-03-15T07:37:16","slug":"reliz-http-servera-apache-2-4-53-s-ustraneniem-opasnyh-uyazvimostej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/reliz-http-servera-apache-2-4-53-s-ustraneniem-opasnyh-uyazvimostej","title":{"rendered":"Utg\u00e5van av http-servern Apache 2.4.53 med \u00e5tg\u00e4rd av farliga s\u00e5rbarheter","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Utg\u00e5van av HTTP-servern Apache 2.4.53 har offentliggjorts, d\u00e4r 14 \u00e4ndringar inf\u00f6rts och 4 s\u00e5rbarheter \u00e5tg\u00e4rdats: <\/p>\n
\n
CVE-2022-22720 \u2014 en s\u00e5rbarhet som m\u00f6jligg\u00f6r en \"HTTP Request Smuggling\"-attack, vilket g\u00f6r det m\u00f6jligt att infiltrera inneh\u00e5llet i andra anv\u00e4ndares f\u00f6rfr\u00e5gningar genom att skicka speciellt formaterade klientf\u00f6rfr\u00e5gningar via mod_proxy (till exempel kan skadlig JavaScript-kod injiceras i en annan anv\u00e4ndares session). Problemet orsakas av att ing\u00e5ende anslutningar h\u00e5lls \u00f6ppna efter att fel uppst\u00e5tt vid bearbetning av ett inkorrekt f\u00f6rfr\u00e5gningsinneh\u00e5ll.\n
CVE-2022-23943 \u2014 en buffert\u00f6verfullhet i modulen mod_sed, vilket g\u00f6r det m\u00f6jligt att skriva \u00f6ver minnesinneh\u00e5ll i heapen med data som kontrolleras av angriparen.\n
CVE-2022-22721 \u2014 en s\u00e5rbarhet som m\u00f6jligg\u00f6r skrivning utanf\u00f6r bufferten p\u00e5 grund av ett heltals\u00f6verfl\u00f6de som uppst\u00e5r vid \u00f6verf\u00f6ring av f\u00f6rfr\u00e5gningsinneh\u00e5ll som \u00e4r st\u00f6rre \u00e4n 350 MB. Problemet upptr\u00e4der p\u00e5 32-bitars system d\u00e4r inst\u00e4llningen f\u00f6r LimitXMLRequestBody \u00e4r satt till ett f\u00f6r h\u00f6gt v\u00e4rde (standard \u00e4r 1 MB, f\u00f6r en attack m\u00e5ste gr\u00e4nsen vara \u00f6ver 350 MB).\n
CVE-2022-22719 \u2014 en s\u00e5rbarhet i mod_lua som m\u00f6jligg\u00f6r l\u00e4sning av slumpm\u00e4ssiga minnesomr\u00e5den och krasch av processen vid behandling av ett speciellt utformat f\u00f6rfr\u00e5gningsinneh\u00e5ll. Problemet orsakas av anv\u00e4ndningen av oinitialiserade v\u00e4rden i koden f\u00f6r funktionen r:parsebody. <\/ul>\n
De mest m\u00e4rkbara f\u00f6r\u00e4ndringarna, orelaterade till s\u00e4kerhet: <\/p>\n
\n
I mod_proxy har gr\u00e4nsen f\u00f6r antalet tecken i handlares (worker) namn h\u00f6jts. M\u00f6jlighet till selektiv inst\u00e4llning av timeoutar f\u00f6r backend och frontend har lagts till (till exempel knutet till en worker). F\u00f6r beg\u00e4rningar som skickas via websockets eller metoden CONNECT har timeouten \u00e4ndrats till det maximala v\u00e4rde som st\u00e4llts in f\u00f6r backend och frontend.\n
Behandlingen av \u00f6ppning av DBM-filer och laddning av DBM-drivrutinen har delats upp. Vid ett fel i loggen visas nu mer detaljerad information om felet och drivrutinen.\n