Релиз на http-сервера Apache 2.4.61 с отстранени уязвимости

Достъпен е релизът на HTTP сървъра Apache 2.4.61, който е публикуван почти веднага след пускането на 2.4.60 и включва поправка на регресивна промяна, довела до уязвимост (CVE-2024-39884), позволяваща разглеждане на кода на скриптове, чиято обработка е настроена с директивата AddType (например, може да се изпрати специално форматирано запитване към PHP скрипт, което да доведе до показване на неговото съдържание вместо до изпълнение).

В версията на Apache httpd 2.4.60 са отстранени 8 уязвимости, от които 5 са маркирани като важни, както и са представени 13 промени. Откритите уязвимости:

• CVE-2024-38473 — проблем в mod_proxy, който позволява, чрез неправилно кодиране в URL, да се заобиколи удостоверяването към услуги на бекенда.
• CVE-2024-38476 — при наличие на уязвимо приложение, използвано като бекенд, може да се изпълнят локални скриптове или да се изтече информация.
• CVE-2024-38474, CVE-2024-38475 — неправилно екраниране на изхода от mod_rewrite, позволява на атакуващия да отрази URL на каталог в локалната файлова система, който се обработва от HTTP сървъра, но не е достъпен по линк.
• CVE-2024-38472 — възможност за извършване на SSRF атака срещу сървъри платформа Windows.
• CVE-2024-39573 — възможност за извършване на SSRF (Server-side request forgery) атака на mod_rewrite, позволяваща обработка на URL в mod_proxy с помощта на налични в настройките несигурни правила (RewriteRule).
• CVE-2024-36387 — отказ на обслужване поради разразимен нулев указател при използване на WebSocket протокол над HTTP/2.
• CVE-2024-38477 — отказ на обслужване при обработка на специално оформен заявка в mod_proxy, предизвикан от разразимен нулев указател.

Сред несвързаните със сигурността промени:

• В директивите Listen и VirtualHost е добавена поддръжка за указване на зона и обхват на локалните адреси IPv6.
• Актуализирано е съдържанието на файла mime.types.
• В mod_cgid е добавена опционална поддръжка за предаване на файлови дескриптори.
• В модула mod_tls до версия 0.13.0 е актуализиран пакетът rustls-ffi.
• В модула mod_md, използван за автоматизация на получаване и обслужване на сертификати с помощта на протокола ACME (Automatic Certificate Management Environment), се появи директивата MDCheckInterval за определяне на интервала за проверка на отзовани сертификати.

Източник: opennet.ru