Публикувано е издание на HTTP-сървъра Apache 2.4.49, в което са представени 27 промени и са отстранени 5 уязвимости:
- CVE-2021-33193 — уязвимост на mod_http2 към нов вариант на атаката „HTTP Request Smuggling“, позволяваща чрез изпращане на специално форматирани клиентски заявки да се вмъкват в съдържанието на заявки на други потребители, предавани през mod_proxy (например, може да се постигне вмъкване на злонамерен JavaScript код в сесия на друг потребител на сайта).
- CVE-2021-40438 — уязвимост SSRF (Server Side Request Forgery) в mod_proxy, позволяваща чрез изпращане на специално оформен uri-path да се постигне пренасочване на заявка към сървър, избран от атакуващия.
- CVE-2021-39275 — преливане на буфер в функцията ap_escape_quotes. Уязвимостта е маркирана като неопасна, тъй като всички стандартни модули не предават външни данни на тази функция. Но теоретично е възможно да съществуват трети модули, чрез които да се извърши атака.
- CVE-2021-36160 — четене от извън границите на буфера в модула mod_proxy_uwsgi, водещо до срив.
- CVE-2021-34798 — разименоване на нулев указател, водещо до срив на процеса при обработка на специално форматирани заявки.
Наиболее заметные изменения, не связанные с безопасностью:
- Достатъчно много вътрешни промени в mod_ssl. От mod_ssl в основната логика (core) са пренесени настройките „ssl_engine_set“, „ssl_engine_disable“ и „ssl_proxy_enable“. Предоставена е възможност за приложение на алтернативни SSL-модули за защита на връзките чрез mod_proxy. Добавена е възможността за водене на лог на затворените ключове, който може да се използва в wireshark за анализ на криптиран трафик.
- В mod_proxy е ускорено разборът на пътища с unix socket, предавани в URL „proxy:“.
- Разширени са възможностите на модула mod_md, използван за автоматизиране на получаването и поддръжката на сертификати с използване на протокола ACME (Automatic Certificate Management Environment). Разрешено е обрамчването с кавички на домейни в <MDomain …> и е предоставена поддръжка за tls-alpn-01 за домейн имена, не свързани с виртуални хостове.
- Добавен е параметър StrictHostCheck, забраняващ указването на ненастроени имена на хостове в списъка на аргументите „allow“.
Източник: opennet.ru
