The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

Релиз http-сервера Apache 2.4.54 с устранением уязвимостей

11.06.2022 12:33

Опубликован релиз HTTP-сервера Apache 2.4.54, в котором представлено 19 изменений и устранено 8 уязвимостей:

  • CVE-2022-31813 - уязвимость в mod_proxy, позволяющая блокировать отправку заголовков X-Forwarded-* с информацией об IP-адресе, с которого поступил изначальный запрос. Проблема может быть использована для обхода ограничений доступа по IP-адресам.
  • CVE-2022-30556 - уязвимость в mod_lua, позволяющая получить доступ к данным за пределами выделенного буфера через манипуляции с функцией r:wsread() в Lua-скриптах.
  • CVE-2022-30522 - отказ в обслуживании (исчерпание доступной памяти) при обработке определённых данных модулем mod_sed.
  • CVE-2022-29404 - отказ в обслуживании в mod_lua, эксплуатируемый через отправку специальной оформленных запросов Lua-обработчикам, использующим вызов r:parsebody(0).
  • CVE-2022-28615, CVE-2022-28614 - отказ в обслуживании или получение доступа к данным в памяти процесса из-за ошибок в функциях ap_strcmp_match() и ap_rwrite(), приводящих к чтению из области за границей буфера.
  • CVE-2022-28330 - утечка информации из областей вне границ буфера в mod_isapi (проблема проявляется только на платформе Windows).
  • CVE-2022-26377 - модуль mod_proxy_ajp подвержен атакам класса "HTTP Request Smuggling" на системы фронтэнд-бэкенд, позволяющим вклиниваться в содержимое запросов других пользователей, обрабатываемых в том же потоке между фронтэндом и бэкендом.

Наиболее заметные изменения, не связанные с безопасностью:

  • В mod_ssl обеспечена совместимость режима SSLFIPS с OpenSSL 3.0.
  • В утилите ab реализована поддержка TLSv1.3 (требуется связывание с SSL-библиотекой, поддерживающей данный протокол).
  • В mod_md в директиве MDCertificateAuthority разрешено использование более одного имени и URL удостоверяющего центра. Добавлены новые директивы: MDRetryDelay (определяет задержку перед отправкой повторного запроса) и MDRetryFailover (определяет число повторных попыток в случае сбоя перед выбором альтернативного удостоверяющего центра). Добавлена поддержка состояния "auto" при выводе значений в формате "key: value". Предоставлена возможность управления сертификатами для пользователей защищённой VPN-сети Tailscale.
  • Проведена чистка модуля mod_http2 от неиспользуемого и небезопасного кода.
  • В mod_proxy обеспечено отражение сетевого порта бэкенда в сообщениях об ошибках, записываемых в лог.
  • В mod_heartmonitor значение параметра HeartbeatMaxServers изменено с 0 до 10 (инициализации 10 слотов разделяемой памяти).


  1. Главная ссылка к новости (https://downloads.apache.org/h...)
  2. OpenNews: Релиз http-сервера Apache 2.4.53 с устранением опасных уязвимостей
  3. OpenNews: Релиз http-сервера Apache 2.4.52 с устранением переполнения буфера в mod_lua
  4. OpenNews: Ещё одна уязвимость в Apache httpd, позволяющая обратиться за пределы корневого каталога сайта
  5. OpenNews: Уязвимость в http-сервере Apache 2.4.49, позволяющая получить файлы вне корня сайта
  6. OpenNews: Новая атака на системы фронтэнд-бэкенд, позволяющая вклиниться в запросы
Лицензия: CC-BY
Тип: Программы
Короткая ссылка: https://opennet.ru/57334-apache
Ключевые слова: apache, http
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (82) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, Онаним (?), 13:14, 11/06/2022 [ответить] [﹢﹢﹢] [ · · · ]  
  • –7 +/
    Так, проксю не юзаю, не интересно.
    mod_http2 вообще можно выкинуть. Если нужен http/2 - проще haproxy на фронт навесить.
    Но в целом годно, пойду соберу что-ли.
     
     
  • 2.35, Аноним (35), 00:54, 12/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    > Если нужен http/2 - проще haproxy на фронт навесить.

    А ещё проще - взять nginx и перестать глумиться над скелетом индейца.

     
     
  • 3.38, Онаним (?), 08:52, 12/06/2022 [^] [^^] [^^^] [ответить]  
  • –5 +/
    И как, nginx уже научился внутрь модули динамических языков подключать, или всё ещё надо CGI костылить?
     
     
  • 4.39, Онаним (?), 08:53, 12/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    (вопрос совершенно не требует ответа, принцип обработки запросов в nginx годится только для отдачи статики, и чуть-чуть для прокси, но если мы о прокси - специализированные прокси типа haproxy гораздо удобнее)
     
  • 4.48, Аноним (35), 11:40, 12/06/2022 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > И как, nginx уже научился внутрь модули динамических языков подключать

    Да, например, Lua.

    > или всё ещё надо CGI костылить

    Nginx не поддерживает CGI.

    А если вы путаете CGI и FastCGI, то от админства в целом и юникс-подобных систем вы явно далеки.

     
     
  • 5.56, Онаним (?), 14:32, 12/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    Поиск CGI в слове FastCGI даёт мне true.
    Фикси голову.
     
     
  • 6.63, Аноним (35), 16:43, 12/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    Ага, а PCI bus - это что-то вроде автобуса. Не, нуачо, похоже же звучит!
     
     
  • 7.66, Онаним (?), 17:25, 12/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    Ладно, для особо одарённых поясню.

    Так что, нгинх уже внутрь себя может затянуть движки для динамики (индеец-то может очень много таковых), или до сих пор надо внешние процессы городить с отдельным протоколом для обмена между ними?

     
     
  • 8.67, Аноним (35), 17:33, 12/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    А можно для особо одарённых пояснить, как вы ухитрились попасть в обсуждение н... большой текст свёрнут, показать
     
     
  • 9.69, Онаним (?), 21:52, 12/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    Я понимаю что тебе голоса в голове это всё нашептали Но удивись, я знаю разницу... текст свёрнут, показать
     
     
  • 10.79, Аноним (35), 13:17, 13/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    Пожалуйста, не проецируйте на других свои проблемы А по вашим репликам и не ска... большой текст свёрнут, показать
     
  • 9.70, Онаним (?), 21:54, 12/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    FastCGI, ещё удивись, внезапно умеет haproxy Поэтому твой нгинх даже в этом ко... текст свёрнут, показать
     
     
  • 10.80, Аноним (35), 18:44, 13/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    И толку от этого, если у большинства пыхосайтов статика и скипты лежат в одном р... текст свёрнут, показать
     

  • 1.2, Онаним (?), 13:16, 11/06/2022 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Из важного, но не указанного

    *) MPM event: Restart children processes killed before idle maintenance.
    *) MPM event: Fix accounting of active/total processes on ungraceful restart

     
     
  • 2.3, Аноним (3), 14:53, 11/06/2022 [^] [^^] [^^^] [ответить]  
  • –4 +/
    Еще забыли написать что это единственный нормальный вебсервер.  
     
     
  • 3.7, Аноним (7), 16:14, 11/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    Особенно для пыхеров.  
     
     
  • 4.34, Аноним (35), 00:53, 12/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    Да, как говорил Лёня П., "хорошо, когда всё в одном".
     
  • 3.14, Аноним (14), 18:23, 11/06/2022 [^] [^^] [^^^] [ответить]  
  • +4 +/
    А Caddy?
     
     
  • 4.17, Аноним (17), 18:45, 11/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    А про caddy искать "caddy Caddy-Sponsors headers" или читать https://web.archive.org/web/20190930230747/https://caddyserver.com/blog/accoun , чтобы понять что на уме у разрабов.
     
     
  • 5.28, Аноним (35), 22:29, 11/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    Это был Caddy 1, он закономерно утонул.
    Сейчас caddyserver - это caddy 2, полностью опенсорсный и без еулы.
     
  • 4.19, Онаним (?), 18:56, 11/06/2022 [^] [^^] [^^^] [ответить]  
  • –8 +/
    Оно на игого.
    Так, поржать?
     
     
  • 5.33, Аноним (35), 00:52, 12/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    Ваша аргументация, боюсь, лишь негативно характеризует ваш интеллектуальный уровень.
     
     
  • 6.40, Онаним (?), 08:55, 12/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    Честно? Мне абсолютно фиолетово, что вы там себе придумываете об этой аргументации.
    Меня больше волнуют вопросы выбора решений на долгосрок, в которые что угодно на го, растах и прочих руби - не входит.
     
     
  • 7.46, Аноним (46), 10:06, 12/06/2022 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Если тебе все равно зачем об этом писать. Значит тебе не все равно и ты внутри себя осознаешь свою пхпшную ничтожность.  
     
  • 7.49, Аноним (35), 11:42, 12/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    > Честно? Мне абсолютно фиолетово, что вы там себе придумываете об этой аргументации.

    Вы просто выставляете на обозрение уровень своей глупости.

    > Меня больше волнуют вопросы выбора решений на долгосрок, в которые что угодно на го, растах и прочих руби - не входит.

    Ну да, логика как у блондинки - "эта машинка мне нравится больше, потому что она розовенькая".

     
     
  • 8.55, Онаним (?), 14:31, 12/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    Shoo ... текст свёрнут, показать
     
     
  • 9.60, Аноним (35), 16:40, 12/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    Эта реплика, очевидно, символизирует апекс ваших интеллектуальных способностей ... текст свёрнут, показать
     
     
  • 10.71, Онаним (?), 22:06, 12/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    Очевидно, что ты её понять не смог ... текст свёрнут, показать
     
  • 7.57, Аноним (57), 14:38, 12/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    Когда языку уже 13 лет, есть устоявшийся стек, и стабильный спрос по вакансиям, а анонимы до сих пор то ли на пыху намекают, то ли на шарпы с жабой. "Долгосрок", кек.
     
     
  • 8.58, Онаним (?), 15:07, 12/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    На вакансии дворников тоже есть стабильный спрос Но это не значит ... текст свёрнут, показать
     
     
  • 9.73, Аноним (73), 09:26, 13/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    Ну пока у тебя не значит , у других уже легаси на голанге пятилетнее, которое п... текст свёрнут, показать
     
     
  • 10.74, Онаним (?), 09:27, 13/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    Пятилетнее легаси - это феерично D... текст свёрнут, показать
     
  • 10.75, Онаним (?), 09:28, 13/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    да не, я понимаю, что для однодневок пять лет - это вечность, но у меня как-то ... текст свёрнут, показать
     
  • 2.16, Аноним (16), 18:40, 11/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    > children

    Sjwшники детей любят? Когда поставит на место этих извратителей!

    children > smaller

    Я здесь власть!!!

     
     
  • 3.18, Онаним (?), 18:54, 11/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    Не закусил в этот раз?
    Сочувствую.
     
  • 3.43, Аноним (43), 09:37, 12/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    А они делали ранее типичные black/white/slave/mistress/итд? Если нет, то мимо. Если да - поддерживаю, на горох разработчиков за такое, занимаются угнетением подростков.
     

  • 1.4, Аноним (3), 14:54, 11/06/2022 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Проблема, которая появляется только на Windows это пять я считаю.  
     
     
  • 2.5, Онаним (?), 15:37, 11/06/2022 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Таких полно в каждом софте, который и там и сям работает.
     
     
  • 3.6, Аноним (7), 16:13, 11/06/2022 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Да это ОС отстой, а не софт.  
     
     
  • 4.37, Аноним (37), 08:38, 12/06/2022 [^] [^^] [^^^] [ответить]  
  • +1 +/
    В случае же, когда баг есть только на линуксе, то "это другое"?
     
     
  • 5.47, Аноним (46), 10:07, 12/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    Линукс то не отстой головой то думай иногда.  
     

  • 1.8, Аноним (8), 16:23, 11/06/2022 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    >mod_lua

    На луа можно сайты делать?

     
     
  • 2.9, Аноним (-), 16:30, 11/06/2022 [^] [^^] [^^^] [ответить]  
  • +2 +/
    А почему, собственно, нет?
     
  • 2.10, Аноним (10), 16:59, 11/06/2022 [^] [^^] [^^^] [ответить]  
  • +5 +/
    Это может показаться диким бредом, но даже на JavaScript можно
     
     
  • 3.22, gone (?), 19:31, 11/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    Вы из нулевых заглянули сюда на минуточку что-ли? Node.js-у 13 лет, версий аж 18.
     
     
  • 4.24, Аноним (24), 21:05, 11/06/2022 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Популярен он не так давно лет 7-10.  
     
  • 2.11, Аноним (11), 18:09, 11/06/2022 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Хоть на чём, умеющем в хеловорлд.
     
     
  • 3.13, Аноним (13), 18:13, 11/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    Есть такое слово «целесообразность»
     
     
  • 4.15, Аноним (14), 18:24, 11/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    Есть еще слово "безопасность". Поэтому сайты нужно делать на C++ (Wt).
     
     
  • 5.21, brain_bug (?), 19:29, 11/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    >сайты нужно делать на C++

    Включая фронтенд.

     
     
  • 6.29, Анонимчик (?), 22:44, 11/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    Ну wasm же есть, почему нет если надо портануть приложение в веб?
     
  • 5.32, Аноним (35), 00:50, 12/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    > Есть еще слово "безопасность". Поэтому сайты нужно делать на C++ (Wt).

    И сразу делать по центру поле ввода с рутовым шеллом?

     
  • 2.12, Аноним (13), 18:12, 11/06/2022 [^] [^^] [^^^] [ответить]  
  • –2 +/
    На луа нет библиотек. Без библиотек никто не умеет работать. Это тебе не npm.
     
     
  • 3.20, Онаним (?), 19:01, 11/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    Это да, ныне пробелы слева в строку подставить без лефтпада мало кто умеет.
     
     
  • 4.23, Аноним (24), 21:04, 11/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    Скажи не подглядывая как сделать лефтпад в луа? Ха не смог, а туда же.  
     
     
  • 5.25, Онаним (?), 21:21, 11/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    Если именно в луа и не изголяться - то string.format. Не самый оптимальный способ конечно.
    А если изголяться - то len, rep, конкатенация.
     
     
  • 6.27, Аноним (27), 22:05, 11/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    Напишите реализацию leftpad без Гугла и подсказок IDE
     
     
  • 7.41, Онаним (?), 08:56, 12/06/2022 [^] [^^] [^^^] [ответить]  
  • –1 +/
    В чём проблема-то? Две строковых функции и оператор конкатенации вспомнить не можете?
     
  • 7.42, Онаним (?), 09:01, 12/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    В том, на чём я в основном пишу, "лефтпад" встроен. str_pad() называется.
    В сях проще выделить буфер и скопировать.

    А так - псевдокод для почти любого языка:
    if ((strLength = length(string)) < paddedLength)
      string = repeat(' ', paddedLength - strLength) + string;

    В чём проблемо-то?

     
     
  • 8.44, Аноним (46), 09:51, 12/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    Всё ясно то на чём ты пишешь сказалось на том как ты думаешь ... текст свёрнут, показать
     
     
  • 9.51, Аноним (35), 11:45, 12/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    Я, кажется, начинаю понимать, почему JS-разработчики стараются не думать ... текст свёрнут, показать
     
  • 9.59, Онаним (?), 15:10, 12/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    Ну извини, думать ещё не разучился, да ... текст свёрнут, показать
     
     
  • 10.61, Аноном (?), 16:41, 12/06/2022 [^] [^^] [^^^] [ответить]  
  • –2 +/
    У всех пыхеров есть синдром даннинга-крюгера Они на столько глупы что даже не м... текст свёрнут, показать
     
     
  • 11.64, Аноним (35), 16:46, 12/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    По моим наблюдениям, среднестатистический пыхер на несколько пунктов IQ умнее ср... текст свёрнут, показать
     
  • 11.65, Онаним (?), 17:23, 12/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    К счастью, пыхеры несколько умнее тебя, и поэтому настолько - пишут слитно ... текст свёрнут, показать
     
  • 11.84, Аноним (84), 16:07, 14/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    Главное чтоб у тебя самого не было синдрома даннинга-крюгера ... текст свёрнут, показать
     
  • 8.76, Аноним (27), 09:43, 13/06/2022 [^] [^^] [^^^] [ответить]  
  • +1 +/
    В том что здесь рассуждают про ум пыхеров и jsников , но ни одной рабочей реа... текст свёрнут, показать
     
     
  • 9.77, Онаним (?), 10:02, 13/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    Вероятно, да Я выше псевдокод привёл, легко транслируется почти на любой нынешн... текст свёрнут, показать
     
     
  • 10.82, Аноним (84), 15:46, 14/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    Приходит opennetовец на собеседование на junior разработчика Си Конечно, openne... текст свёрнут, показать
     
     
  • 11.83, Аноним (84), 15:49, 14/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    я думаю, opennetовца не примут на работу по абсолютно понятной причине Потому ч... текст свёрнут, показать
     
  • 3.30, Анонимчик (?), 22:45, 11/06/2022 [^] [^^] [^^^] [ответить]  
  • +4 +/
    Luarocks
     
     
  • 4.36, Аноним (35), 01:11, 12/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    Да ладно, это же фронтендщик. Они искренне верят, что JS - единственный язык, у которого есть собственный пакетный менеджер.

    Соответственно, слова pip, luarocks, composer, cpan, gem - ни о чём им не говорят, в лучшем случае можно добиться "это какая-то старая фигня, которой дедушки пользовались за двадцать лет до моего рождения".

     
     
  • 5.45, Аноним (46), 09:52, 12/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    Да ладно расскажи почему луа так и не обогнал ноду? И почему сайтовый бекенд на луа никто не делает?
     
     
  • 6.50, Аноним (35), 11:43, 12/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    Потому, что JS-разработчиков на рынке столько, что нанимать их можно буквально за еду.
     
     
  • 7.52, Аноним (52), 13:26, 12/06/2022 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Сед бат тру.
     
  • 2.31, Аноним (31), 22:47, 11/06/2022 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Роутерные интерфейсы же делают, чё б и сайты не делать. На чём угодно можно, хоть баш, хоть ассемблер.
     
     
  • 3.53, Аноним (52), 13:27, 12/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    Ассемблер это все равно что на говнокоде писать.  
     
     
  • 4.54, Аноним (31), 13:28, 12/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    > Ассемблер это все равно что на говнокоде писать.

    А в чём проблема? Возьмёшь готовый веб-фреймворк, если сам красиво сделать не можешь.

     
     
  • 5.62, Аноном (?), 16:42, 12/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    Фреймворк на ассемблере? Чето ржу.  
     
  • 2.78, mikhailnov (ok), 10:11, 13/06/2022 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Благодаря CGI сайты можно делать на чем угодно, что умеет выводить текст в stdout.
     
     
  • 3.81, 1 (??), 10:13, 14/06/2022 [^] [^^] [^^^] [ответить]  
  • +/
    так-то да ...
    Но если, например, придёт 1000000 запросов, то запустятся 1000000 /bin/sh для CGI. Это если CGI на /bin/sh сделан ... А если на perl, или не дай Б-г на питоне ?
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Спонсоры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2022 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру