Опубликован релиз HTTP-сервера Apache 2.4.56, в котором представлено 6 изменений и устранено 2 уязвимости, связанные с возможностью проведения атак класса “HTTP Request Smuggling” на системы фронтэнд-бэкенд, позволяющих вклиниваться в содержимое запросов других пользователей, обрабатываемых в том же потоке между фронтэндом и бэкендом.
Первая уязвимость (CVE-2023-27522) затрагивает модуль mod_proxy_uwsgi и позволяет на стороне прокси разделить ответ на две части через подстановку специальных символов в возвращаемом бэкендом HTTP-заголовке.
Вторая уязвимость (CVE-2023-25690) присутствует в mod_proxy и проявляется при использовании некоторых правил перезаписи запросов при помощи директивы RewriteRule, предоставляемой модулем mod_rewrite, или определённых шаблонов в директиве ProxyPassMatch. Уязвимость может привести к запросу через прокси внутренних ресурсов, доступ к которым через прокси запрещён, или к отравлению содержимого кэша.
Для проявления уязвимости необходимо, чтобы в правилах перезаписи запроса использовались данные из URL, которые затем подставлялись в отправляемый далее запрос. Например:
RewriteEngine on RewriteRule “^/here/(.*)” ” https://example.com:8080/elsewhere?$1″ https://example.com:8080/elsewhere ; [P] ProxyPassReverse /here/ https://example.com:8080/ https://example.com:8080/
Среди изменений, не связанных с безопасностью:
- В утилиту lotatelogs добавлен флаг “-T”, позволяющий при ротации логов выполнять усечение последующих лог-файлов без усечения начального лог-файла.
- В mod_ldap разрешено указание в директиве LDAPConnectionPoolTTL отрицательных значений для настройки повторного использования любых старых соединений.
- В модуле mod_md, применяемом для автоматизации получения и обслуживания сертификатов с использованием протокола ACME (Automatic Certificate Management Environment), при сборке с libressl 3.5.0+ включена поддержка схемы цифровой подписи ED25519 и учета информации публичного лога сертификатов (CT, Certificate Transparency).
В директиве MDChallengeDns01 разрешено определение настроек для отдельных доменов. - В mod_proxy_uwsgi ужесточена проверка и разбор ответов от HTTP-бэкендов.