Apache HTTP server 2.4.49 buraxıldı, 27 dəyişiklik təqdim etdi və 5 zəifliyi aradan qaldırdı:
- CVE-2021-33193 - mod_http2 xüsusi hazırlanmış müştəri sorğularını göndərməklə mod_proxy vasitəsilə ötürülən digər istifadəçilərin sorğularının məzmununa daxil olmağa imkan verən "HTTP Sorğu Qaçaqmalçılığı" hücumunun yeni variantına həssasdır (məsələn, siz saytın başqa istifadəçisinin sessiyasına zərərli JavaScript kodunun daxil edilməsinə nail ola bilərsiniz).
- CVE-2021-40438 mod_proxy-də SSRF (Server Side Request Forgery) zəifliyidir ki, bu da sorğunun xüsusi hazırlanmış uri-yol sorğusu göndərməklə təcavüzkarın seçdiyi serverə yönləndirilməsinə imkan verir.
- CVE-2021-39275 - ap_escape_quotes funksiyasında bufer daşması. Bütün standart modullar bu funksiyaya xarici məlumatları ötürmədiyi üçün zəiflik zərərsiz kimi qeyd olunur. Ancaq nəzəri cəhətdən mümkündür ki, hücumun həyata keçirilə biləcəyi üçüncü tərəf modulları var.
- CVE-2021-36160 - Mod_proxy_uwsgi modulunda sərhəddən kənar oxunmalar qəzaya səbəb olur.
- CVE-2021-34798 - Xüsusi hazırlanmış sorğuları emal edərkən prosesin çökməsinə səbəb olan NULL göstərici istinadı.
Ən diqqətəlayiq qeyri-təhlükəsizlik dəyişiklikləri bunlardır:
- Mod_ssl-də kifayət qədər daxili dəyişikliklər. “ssl_engine_set”, “ssl_engine_disable” və “ssl_proxy_enable” parametrləri mod_ssl-dən əsas doldurmaya (əsas) köçürülüb. Mod_proxy vasitəsilə əlaqələri qorumaq üçün alternativ SSL modullarından istifadə etmək mümkündür. Şifrələnmiş trafiki təhlil etmək üçün wireshark-da istifadə edilə bilən şəxsi açarları daxil etmək imkanı əlavə edildi.
- mod_proxy-də "proxy:" URL-ə keçən unix yuva yollarının təhlili sürətləndirildi.
- ACME (Automatic Certificate Management Environment) protokolundan istifadə etməklə sertifikatların qəbulunu və texniki xidmətini avtomatlaşdırmaq üçün istifadə edilən mod_md modulunun imkanları genişləndirilmişdir. Domenləri dırnaq işarələri ilə əhatə etməyə icazə verilir və virtual hostlarla əlaqəli olmayan domen adları üçün tls-alpn-01 üçün dəstək verdi.
- "İcazə ver" siyahısı arqumentləri arasında konfiqurasiya edilməmiş host adlarının göstərilməsini qadağan edən StrictHostCheck parametri əlavə edildi.
Mənbə: opennet.ru