Bản phát hành máy chủ HTTP Apache 2.4.56 đã được xuất bản, trong đó giới thiệu 6 thay đổi và loại bỏ 2 lỗ hổng liên quan đến khả năng thực hiện các cuộc tấn công “Lừa đảo yêu cầu HTTP” trên các hệ thống front-end-back-end, cho phép xâm nhập vào nội dung yêu cầu của người dùng khác được xử lý trong cùng một luồng giữa giao diện người dùng và phụ trợ. Cuộc tấn công có thể được sử dụng để vượt qua các hệ thống hạn chế truy cập hoặc chèn mã JavaScript độc hại vào phiên truy cập trên một trang web hợp pháp.
Lỗ hổng đầu tiên (CVE-2023-27522) ảnh hưởng đến mô-đun mod_proxy_uwsgi và cho phép chia phản hồi thành hai phần ở phía proxy thông qua việc thay thế các ký tự đặc biệt trong tiêu đề HTTP được chương trình phụ trợ trả về.
Lỗ hổng thứ hai (CVE-2023-25690) xuất hiện trong mod_proxy và xảy ra khi sử dụng một số quy tắc viết lại yêu cầu nhất định bằng cách sử dụng lệnh RewriteRule do mô-đun mod_rewrite cung cấp hoặc các mẫu nhất định trong lệnh ProxyPassMatch. Lỗ hổng này có thể dẫn đến yêu cầu thông qua proxy đối với các tài nguyên nội bộ không được phép truy cập thông qua proxy hoặc gây nhiễm độc nội dung bộ đệm. Để lỗ hổng bảo mật xuất hiện, quy tắc viết lại yêu cầu cần phải sử dụng dữ liệu từ URL, sau đó được thay thế vào yêu cầu được gửi tiếp. Ví dụ: RewriteEngine trên RewriteRule “^/here/(.*)” » http://example.com:8080/elsewhere?$1″ http://example.com:8080/elsewhere ; [P] ProxyPassReverse /tại đây/ http://example.com:8080/ http://example.com:8080/
Trong số những thay đổi không liên quan đến bảo mật:
- Cờ “-T” đã được thêm vào tiện ích Rotalogs, tiện ích này cho phép, khi xoay nhật ký, cắt bớt các tệp nhật ký tiếp theo mà không cần cắt bớt tệp nhật ký ban đầu.
- mod_ldap cho phép các giá trị âm trong lệnh LDAPConnectionPoolTTL định cấu hình việc sử dụng lại mọi kết nối cũ.
- Mô-đun mod_md, được sử dụng để tự động hóa việc nhận và duy trì chứng chỉ bằng giao thức ACME (Môi trường quản lý chứng chỉ tự động), khi được biên dịch với libressl 3.5.0+, bao gồm hỗ trợ cho sơ đồ chữ ký số ED25519 và tính toán thông tin nhật ký chứng chỉ công cộng (CT , Tính minh bạch của chứng chỉ). Lệnh MDChallengeDns01 cho phép xác định cài đặt cho từng miền riêng lẻ.
- mod_proxy_uwsgi đã thắt chặt việc kiểm tra và phân tích phản hồi từ các chương trình phụ trợ HTTP.
Nguồn: opennet.ru