Apache 2.4.53 HTTP 服務器版本已經發布，其中包含 19 個更改並修復了 8 個漏洞：
- CVE-2022-31813 是 mod_proxy 中的一個漏洞，可以阻止發送帶有原始請求來源 IP 地址信息的 X-Forwarded-* 標頭。 該問題可用於繞過基於 IP 地址的訪問限制。
- CVE-2022-30556 是 mod_lua 中的一個漏洞，允許通過 Lua 腳本中的 r:wsread() 函數進行操作來訪問已分配緩衝區之外的數據。
- CVE-2022-30522 - mod_sed 處理某些數據時出現拒絕服務（可用內存不足）。
- CVE-2022-29404 - 通過使用 r:parsebody(0) 調用向 Lua 處理程序發送特製請求來利用 mod_lua 拒絕服務。
- CVE-2022-28615、CVE-2022-28614 - 由於 ap_strcmp_match() 和 ap_rwrite() 函數中的錯誤，導致拒絕服務或訪問進程內存中的數據，導致從緩衝區邊界之外的區域進行讀取。
- CVE-2022-28330 - mod_isapi 中的越界信息洩漏（問題僅出現在 Windows 平台上）。
- CVE-2022-26377 - mod_proxy_ajp 模塊容易受到前端-後端系統的“HTTP 請求走私”攻擊，該攻擊允許其他用戶請求的內容滲透到前端和後端之間的同一線程上。
最顯著的非安全變化是：
- mod_ssl 使 SSLFIPS 模式與 OpenSSL 3.0 兼容。
- ab 實用程序實現了對 TLSv1.3 的支持（需要綁定到支持此協議的 SSL 庫）。
- 在 mod_md 中，MDCertificateAuthority 指令允許多個 CA 名稱和 URL。 添加了新指令：MDRetryDelay（定義發送重試請求之前的延遲）和 MDRetryFailover（定義在選擇備用 CA 之前發生故障時的重試次數）。 添加了以“key:value”格式顯示值時對“auto”狀態的支持。 為 Tailscale 安全 VPN 用戶提供管理證書的能力。
- mod_http2 模塊已清除未使用和不安全的代碼。
- mod_proxy 在寫入日誌的錯誤消息中提供後端網絡端口的反映。
- 在 mod_heartmonitor 中，HeartbeatMaxServers 參數的值已從 0 更改為 10（初始化 10 個共享內存插槽）。
來源： opennet.ru