CVE-2023-25690

सारांश

Apache HTTP Server संस्करण 2.4.0 से 2.4.55 के कुछ mod_proxy कॉन्फ़िगरेशन HTTP Request Smuggling हमले की अनुमति देते हैं। कॉन्फ़िगरेशन तब प्रभावित होते हैं जब mod_proxy को किसी प्रकार के RewriteRule या ProxyPassMatch के साथ सक्षम किया जाता है, जिसमें एक गैर-विशिष्ट पैटर्न उपयोगकर्ता-आपूर्ति request-target (URL) डेटा के कुछ भाग से मेल खाता है और फिर चर प्रतिस्थापन (variable substitution) का उपयोग करके प्रॉक्सी किए गए request-target में पुनः डाला जाता है। उदाहरण के लिए, कुछ इस प्रकार: RewriteEngine on RewriteRule "^/here/(.*)" "http://example.com:8080/elsewhere?$1"; [P] ProxyPassReverse /here/ http://example.com:8080/ Request splitting/smuggling के परिणामस्वरूप प्रॉक्सी सर्वर में एक्सेस नियंत्रण को बायपास किया जा सकता है, मौजूदा ओरिजिन सर्वरों पर अनपेक्षित URL प्रॉक्सी किए जा सकते हैं, और कैश पॉइज़निंग हो सकती है। उपयोगकर्ताओं को सलाह दी जाती है कि वे Apache HTTP Server के कम से कम संस्करण 2.4.56 में अपडेट करें।

• CVE-2023-25690-POCPoC

  CVE 2023 25690 प्रूफ ऑफ कॉन्सेप्ट - Apache HTTP Server संस्करण 2.4.0 - 2.4.55 पर mod_proxy की कमजोर कॉन्फ़िगरेशन HTTP Request Smuggling भेद्यता की ओर ले जाती है।

• CVE-2023-25690_labPoC

  HTTP Request Smuggling लैब: Apache 2.4.55 CRLF injection