Релиз http-сервера Apache 2.4.54 с устранением уязвимостей

11.06.2022 12:33

Опубликован релиз HTTP-сервера Apache 2.4.54, в котором представлено 19 изменений и устранено 8 уязвимостей:

CVE-2022-31813 - уязвимость в mod_proxy, позволяющая блокировать отправку заголовков X-Forwarded-* с информацией об IP-адресе, с которого поступил изначальный запрос. Проблема может быть использована для обхода ограничений доступа по IP-адресам.
CVE-2022-30556 - уязвимость в mod_lua, позволяющая получить доступ к данным за пределами выделенного буфера через манипуляции с функцией r:wsread() в Lua-скриптах.
CVE-2022-30522 - отказ в обслуживании (исчерпание доступной памяти) при обработке определённых данных модулем mod_sed.
CVE-2022-29404 - отказ в обслуживании в mod_lua, эксплуатируемый через отправку специальной оформленных запросов Lua-обработчикам, использующим вызов r:parsebody(0).
CVE-2022-28615, CVE-2022-28614 - отказ в обслуживании или получение доступа к данным в памяти процесса из-за ошибок в функциях ap_strcmp_match() и ap_rwrite(), приводящих к чтению из области за границей буфера.
CVE-2022-28330 - утечка информации из областей вне границ буфера в mod_isapi (проблема проявляется только на платформе Windows).
CVE-2022-26377 - модуль mod_proxy_ajp подвержен атакам класса "HTTP Request Smuggling" на системы фронтэнд-бэкенд, позволяющим вклиниваться в содержимое запросов других пользователей, обрабатываемых в том же потоке между фронтэндом и бэкендом.

Наиболее заметные изменения, не связанные с безопасностью:

В mod_ssl обеспечена совместимость режима SSLFIPS с OpenSSL 3.0.
В утилите ab реализована поддержка TLSv1.3 (требуется связывание с SSL-библиотекой, поддерживающей данный протокол).
В mod_md в директиве MDCertificateAuthority разрешено использование более одного имени и URL удостоверяющего центра. Добавлены новые директивы: MDRetryDelay (определяет задержку перед отправкой повторного запроса) и MDRetryFailover (определяет число повторных попыток в случае сбоя перед выбором альтернативного удостоверяющего центра). Добавлена поддержка состояния "auto" при выводе значений в формате "key: value". Предоставлена возможность управления сертификатами для пользователей защищённой VPN-сети Tailscale.
Проведена чистка модуля mod_http2 от неиспользуемого и небезопасного кода.
В mod_proxy обеспечено отражение сетевого порта бэкенда в сообщениях об ошибках, записываемых в лог.
В mod_heartmonitor значение параметра HeartbeatMaxServers изменено с 0 до 10 (инициализации 10 слотов разделяемой памяти).

исправить +6 +/–

Лицензия: CC BY 3.0

Короткая ссылка: https://opennet.ru/57334-apache

Ключевые слова: apache, http

При перепечатке указание ссылки на opennet.ru обязательно

Обсуждение (82)

1.1, Онаним (?), 13:14, 11/06/2022 [ответить] [﹢﹢﹢] [ · · · ] [↓] [к модератору]	–7 +/–
Так, проксю не юзаю, не интересно. mod_http2 вообще можно выкинуть. Если нужен http/2 - проще haproxy на фронт навесить. Но в целом годно, пойду соберу что-ли.

2.35, Аноним (35), 00:54, 12/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	+/–
> Если нужен http/2 - проще haproxy на фронт навесить. А ещё проще - взять nginx и перестать глумиться над скелетом индейца.

3.38, Онаним (?), 08:52, 12/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	–5 +/–
И как, nginx уже научился внутрь модули динамических языков подключать, или всё ещё надо CGI костылить?

4.39, Онаним (?), 08:53, 12/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	+/–
(вопрос совершенно не требует ответа, принцип обработки запросов в nginx годится только для отдачи статики, и чуть-чуть для прокси, но если мы о прокси - специализированные прокси типа haproxy гораздо удобнее)

4.48, Аноним (35), 11:40, 12/06/2022 [^] [^^] [^^^] [ответить] [к модератору]

+1 +/–

> И как, nginx уже научился внутрь модули динамических языков подключать

Да, например, Lua.

> или всё ещё надо CGI костылить

Nginx не поддерживает CGI.

А если вы путаете CGI и FastCGI, то от админства в целом и юникс-подобных систем вы явно далеки.

5.56, Онаним (?), 14:32, 12/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	+/–
Поиск CGI в слове FastCGI даёт мне true. Фикси голову.

6.63, Аноним (35), 16:43, 12/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	+/–
Ага, а PCI bus - это что-то вроде автобуса. Не, нуачо, похоже же звучит!

7.66, Онаним (?), 17:25, 12/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	+/–
Ладно, для особо одарённых поясню. Так что, нгинх уже внутрь себя может затянуть движки для динамики (индеец-то может очень много таковых), или до сих пор надо внешние процессы городить с отдельным протоколом для обмена между ними?

8.67, Аноним (35), 17:33, 12/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	+/–
А можно для особо одарённых пояснить, как вы ухитрились попасть в обсуждение н... большой текст свёрнут, показать

9.69, Онаним (?), 21:52, 12/06/2022 [^] [^^] [^^^] [ответить] [↓] [к модератору]	+/–
Я понимаю что тебе голоса в голове это всё нашептали Но удивись, я знаю разницу... текст свёрнут, показать

10.79, Аноним (35), 13:17, 13/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	+/–
Пожалуйста, не проецируйте на других свои проблемы А по вашим репликам и не ска... большой текст свёрнут, показать

9.70, Онаним (?), 21:54, 12/06/2022 [^] [^^] [^^^] [ответить] [↑] [к модератору]	+/–
FastCGI, ещё удивись, внезапно умеет haproxy Поэтому твой нгинх даже в этом ко... текст свёрнут, показать

10.80, Аноним (35), 18:44, 13/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	+/–
И толку от этого, если у большинства пыхосайтов статика и скипты лежат в одном р... текст свёрнут, показать

1.2, Онаним (?), 13:16, 11/06/2022 [ответить] [﹢﹢﹢] [ · · · ] [↓] [↑] [к модератору]	+/–
Из важного, но не указанного ) MPM event: Restart children processes killed before idle maintenance. ) MPM event: Fix accounting of active/total processes on ungraceful restart

2.3, Аноним (3), 14:53, 11/06/2022 [^] [^^] [^^^] [ответить] [↓] [к модератору]	–4 +/–
Еще забыли написать что это единственный нормальный вебсервер.

3.7, Аноним (7), 16:14, 11/06/2022 [^] [^^] [^^^] [ответить] [↓] [к модератору]	+/–
Особенно для пыхеров.

4.34, Аноним (35), 00:53, 12/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	+/–
Да, как говорил Лёня П., "хорошо, когда всё в одном".

3.14, Аноним (14), 18:23, 11/06/2022 [^] [^^] [^^^] [ответить] [↑] [к модератору]	+4 +/–
А Caddy?

4.17, Аноним (17), 18:45, 11/06/2022 [^] [^^] [^^^] [ответить] [↓] [к модератору]	+/–
А про caddy искать "caddy Caddy-Sponsors headers" или читать https://web.archive.org/web/20190930230747/https://caddyserver.com/blog/accoun , чтобы понять что на уме у разрабов.

5.28, Аноним (35), 22:29, 11/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	+/–
Это был Caddy 1, он закономерно утонул. Сейчас caddyserver - это caddy 2, полностью опенсорсный и без еулы.

4.19, Онаним (?), 18:56, 11/06/2022 [^] [^^] [^^^] [ответить] [↑] [к модератору]	–8 +/–
Оно на игого. Так, поржать?

5.33, Аноним (35), 00:52, 12/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	+/–
Ваша аргументация, боюсь, лишь негативно характеризует ваш интеллектуальный уровень.

6.40, Онаним (?), 08:55, 12/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	+/–
Честно? Мне абсолютно фиолетово, что вы там себе придумываете об этой аргументации. Меня больше волнуют вопросы выбора решений на долгосрок, в которые что угодно на го, растах и прочих руби - не входит.

7.46, Аноним (46), 10:06, 12/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	+1 +/–
Если тебе все равно зачем об этом писать. Значит тебе не все равно и ты внутри себя осознаешь свою пхпшную ничтожность.

7.49, Аноним (35), 11:42, 12/06/2022 [^] [^^] [^^^] [ответить] [↓] [к модератору]

+/–

> Честно? Мне абсолютно фиолетово, что вы там себе придумываете об этой аргументации.

Вы просто выставляете на обозрение уровень своей глупости.

> Меня больше волнуют вопросы выбора решений на долгосрок, в которые что угодно на го, растах и прочих руби - не входит.

Ну да, логика как у блондинки - "эта машинка мне нравится больше, потому что она розовенькая".

8.55, Онаним (?), 14:31, 12/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	+/–
Shoo ... текст свёрнут, показать

9.60, Аноним (35), 16:40, 12/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	+/–
Эта реплика, очевидно, символизирует апекс ваших интеллектуальных способностей ... текст свёрнут, показать

10.71, Онаним (?), 22:06, 12/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	+/–
Очевидно, что ты её понять не смог ... текст свёрнут, показать

7.57, Аноним (57), 14:38, 12/06/2022 [^] [^^] [^^^] [ответить] [↑] [к модератору]	+/–
Когда языку уже 13 лет, есть устоявшийся стек, и стабильный спрос по вакансиям, а анонимы до сих пор то ли на пыху намекают, то ли на шарпы с жабой. "Долгосрок", кек.

8.58, Онаним (?), 15:07, 12/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	+/–
На вакансии дворников тоже есть стабильный спрос Но это не значит ... текст свёрнут, показать

9.73, Аноним (73), 09:26, 13/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	+/–
Ну пока у тебя не значит , у других уже легаси на голанге пятилетнее, которое п... текст свёрнут, показать

10.74, Онаним (?), 09:27, 13/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	+/–
Пятилетнее легаси - это феерично D... текст свёрнут, показать

10.75, Онаним (?), 09:28, 13/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	+/–
да не, я понимаю, что для однодневок пять лет - это вечность, но у меня как-то ... текст свёрнут, показать

2.16, Аноним (16), 18:40, 11/06/2022 [^] [^^] [^^^] [ответить] [↑] [к модератору]

+/–

> children

Sjwшники детей любят? Когда поставит на место этих извратителей!

children > smaller

Я здесь власть!!!

3.18, Онаним (?), 18:54, 11/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	+/–
Не закусил в этот раз? Сочувствую.

3.43, Аноним (43), 09:37, 12/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	+/–
А они делали ранее типичные black/white/slave/mistress/итд? Если нет, то мимо. Если да - поддерживаю, на горох разработчиков за такое, занимаются угнетением подростков.

1.4, Аноним (3), 14:54, 11/06/2022 [ответить] [﹢﹢﹢] [ · · · ] [↓] [↑] [к модератору]	+/–
Проблема, которая появляется только на Windows это пять я считаю.

2.5, Онаним (?), 15:37, 11/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	+1 +/–
Таких полно в каждом софте, который и там и сям работает.

3.6, Аноним (7), 16:13, 11/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	–1 +/–
Да это ОС отстой, а не софт.

4.37, Аноним (37), 08:38, 12/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	+1 +/–
В случае же, когда баг есть только на линуксе, то "это другое"?

5.47, Аноним (46), 10:07, 12/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	+/–
Линукс то не отстой головой то думай иногда.

1.8, Аноним (8), 16:23, 11/06/2022 [ответить] [﹢﹢﹢] [ · · · ] [↑] [к модератору]	+/–
>mod_lua На луа можно сайты делать?

2.9, Аноним (-), 16:30, 11/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	+2 +/–
А почему, собственно, нет?

2.10, Аноним (10), 16:59, 11/06/2022 [^] [^^] [^^^] [ответить] [↓] [к модератору]	+5 +/–
Это может показаться диким бредом, но даже на JavaScript можно

3.22, gone (?), 19:31, 11/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	+/–
Вы из нулевых заглянули сюда на минуточку что-ли? Node.js-у 13 лет, версий аж 18.

4.24, Аноним (24), 21:05, 11/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	+2 +/–
Популярен он не так давно лет 7-10.

2.11, Аноним (11), 18:09, 11/06/2022 [^] [^^] [^^^] [ответить] [↓] [↑] [к модератору]	+1 +/–
Хоть на чём, умеющем в хеловорлд.

3.13, Аноним (13), 18:13, 11/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	+/–
Есть такое слово «целесообразность»

4.15, Аноним (14), 18:24, 11/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	+/–
Есть еще слово "безопасность". Поэтому сайты нужно делать на C++ (Wt).

5.21, brain_bug (?), 19:29, 11/06/2022 [^] [^^] [^^^] [ответить] [↓] [к модератору]	+/–
>сайты нужно делать на C++ Включая фронтенд.

6.29, Анонимчик (?), 22:44, 11/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	+/–
Ну wasm же есть, почему нет если надо портануть приложение в веб?

5.32, Аноним (35), 00:50, 12/06/2022 [^] [^^] [^^^] [ответить] [↑] [к модератору]	+/–
> Есть еще слово "безопасность". Поэтому сайты нужно делать на C++ (Wt). И сразу делать по центру поле ввода с рутовым шеллом?

2.12, Аноним (13), 18:12, 11/06/2022 [^] [^^] [^^^] [ответить] [↓] [↑] [к модератору]	–2 +/–
На луа нет библиотек. Без библиотек никто не умеет работать. Это тебе не npm.

3.20, Онаним (?), 19:01, 11/06/2022 [^] [^^] [^^^] [ответить] [↓] [к модератору]	+/–
Это да, ныне пробелы слева в строку подставить без лефтпада мало кто умеет.

4.23, Аноним (24), 21:04, 11/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	+/–
Скажи не подглядывая как сделать лефтпад в луа? Ха не смог, а туда же.

5.25, Онаним (?), 21:21, 11/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	+/–
Если именно в луа и не изголяться - то string.format. Не самый оптимальный способ конечно. А если изголяться - то len, rep, конкатенация.

6.27, Аноним (27), 22:05, 11/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	+/–
Напишите реализацию leftpad без Гугла и подсказок IDE

7.41, Онаним (?), 08:56, 12/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	–1 +/–
В чём проблема-то? Две строковых функции и оператор конкатенации вспомнить не можете?

7.42, Онаним (?), 09:01, 12/06/2022 [^] [^^] [^^^] [ответить] [к модератору]

+/–

В том, на чём я в основном пишу, "лефтпад" встроен. str_pad() называется.
В сях проще выделить буфер и скопировать.

А так - псевдокод для почти любого языка:
if ((strLength = length(string)) < paddedLength)
string = repeat(' ', paddedLength - strLength) + string;

В чём проблемо-то?

8.44, Аноним (46), 09:51, 12/06/2022 [^] [^^] [^^^] [ответить] [↓] [к модератору]	+/–
Всё ясно то на чём ты пишешь сказалось на том как ты думаешь ... текст свёрнут, показать

9.51, Аноним (35), 11:45, 12/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	+/–
Я, кажется, начинаю понимать, почему JS-разработчики стараются не думать ... текст свёрнут, показать

9.59, Онаним (?), 15:10, 12/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	+/–
Ну извини, думать ещё не разучился, да ... текст свёрнут, показать

10.61, Аноном (?), 16:41, 12/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	–2 +/–
У всех пыхеров есть синдром даннинга-крюгера Они на столько глупы что даже не м... текст свёрнут, показать

11.64, Аноним (35), 16:46, 12/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	+/–
По моим наблюдениям, среднестатистический пыхер на несколько пунктов IQ умнее ср... текст свёрнут, показать

11.65, Онаним (?), 17:23, 12/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	+/–
К счастью, пыхеры несколько умнее тебя, и поэтому настолько - пишут слитно ... текст свёрнут, показать

11.84, Аноним (84), 16:07, 14/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	+/–
Главное чтоб у тебя самого не было синдрома даннинга-крюгера ... текст свёрнут, показать

8.76, Аноним (27), 09:43, 13/06/2022 [^] [^^] [^^^] [ответить] [↑] [к модератору]	+1 +/–
В том что здесь рассуждают про ум пыхеров и jsников , но ни одной рабочей реа... текст свёрнут, показать

9.77, Онаним (?), 10:02, 13/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	+/–
Вероятно, да Я выше псевдокод привёл, легко транслируется почти на любой нынешн... текст свёрнут, показать

10.82, Аноним (84), 15:46, 14/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	+/–
Приходит opennetовец на собеседование на junior разработчика Си Конечно, openne... текст свёрнут, показать

11.83, Аноним (84), 15:49, 14/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	+/–
я думаю, opennetовца не примут на работу по абсолютно понятной причине Потому ч... текст свёрнут, показать

3.30, Анонимчик (?), 22:45, 11/06/2022 [^] [^^] [^^^] [ответить] [↑] [к модератору]	+4 +/–
Luarocks

4.36, Аноним (35), 01:11, 12/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	+/–
Да ладно, это же фронтендщик. Они искренне верят, что JS - единственный язык, у которого есть собственный пакетный менеджер. Соответственно, слова pip, luarocks, composer, cpan, gem - ни о чём им не говорят, в лучшем случае можно добиться "это какая-то старая фигня, которой дедушки пользовались за двадцать лет до моего рождения".

5.45, Аноним (46), 09:52, 12/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	+/–
Да ладно расскажи почему луа так и не обогнал ноду? И почему сайтовый бекенд на луа никто не делает?

6.50, Аноним (35), 11:43, 12/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	+/–
Потому, что JS-разработчиков на рынке столько, что нанимать их можно буквально за еду.

7.52, Аноним (52), 13:26, 12/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	+2 +/–
Сед бат тру.

2.31, Аноним (31), 22:47, 11/06/2022 [^] [^^] [^^^] [ответить] [↓] [↑] [к модератору]	+1 +/–
Роутерные интерфейсы же делают, чё б и сайты не делать. На чём угодно можно, хоть баш, хоть ассемблер.

3.53, Аноним (52), 13:27, 12/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	+/–
Ассемблер это все равно что на говнокоде писать.

4.54, Аноним (31), 13:28, 12/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	+/–
> Ассемблер это все равно что на говнокоде писать. А в чём проблема? Возьмёшь готовый веб-фреймворк, если сам красиво сделать не можешь.

5.62, Аноном (?), 16:42, 12/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	+/–
Фреймворк на ассемблере? Чето ржу.

2.78, mikhailnov (ok), 10:11, 13/06/2022 [^] [^^] [^^^] [ответить] [↑] [к модератору]	+1 +/–
Благодаря CGI сайты можно делать на чем угодно, что умеет выводить текст в stdout.

3.81, 1 (??), 10:13, 14/06/2022 [^] [^^] [^^^] [ответить] [к модератору]	+/–
так-то да ... Но если, например, придёт 1000000 запросов, то запустятся 1000000 /bin/sh для CGI. Это если CGI на /bin/sh сделан ... А если на perl, или не дай Б-г на питоне ?

игнорирование участников | лог модерирования

Добавить комментарий

Имя:

E-Mail:

Текст: