Пускане на HTTP сървъра Apache 2.4.61 с отстранени уязвимости

Достъпен е релиз на HTTP сървъра Apache 2.4.61, публикуван почти веднага след версия 2.4.60, който включва корекция на регресивна промяна, довела до уязвимост (CVE-2024-39884), позволяваща достъп до кода на скриптове, обработвани чрез директивата AddType (например, може да се формира специално оформена заявка към PHP скрипт, която ще покаже неговото съдържание, вместо да го изпълни).

В версията Apache httpd 2.4.60 са отстранени 8 уязвимости, от които 5 са обозначени като важни, и са направени 13 изменения. Откритите уязвимости са:

• CVE-2024-38473 — проблем в mod_proxy, позволяващ чрез неправилно кодиране в URL да се постигне заобикаляне на аутентификацията към бекенд услуги.
• CVE-2024-38476 — при наличие на уязвимо приложение, използвано като бекенд, може да се постигне изпълнение на локални скриптове или изтичане на информация.
• CVE-2024-38474, CVE-2024-38475 — неправилно екраниране на изхода от mod_rewrite, позволяващо на атакуващия да отрази URL на директория в локалната файловата система, която се обработва от HTTP сървъра, но не е достъпна чрез линк.
• CVE-2024-38472 — възможност за извършване на атака SSRF срещу сървъри платформата Windows.
• CVE-2024-39573 — възможност за извършване на SSRF (Server-side request forgery) атака срещу mod_rewrite, позволяваща обработка на URL в mod_proxy чрез налични в настройките небезопасни правила (RewriteRule).
• CVE-2024-36387 — отказ на услуга поради разименуване на нулев указател при използване на WebSocket протокол над HTTP/2.
• CVE-2024-38477 — отказ на услуга при обработка на специално оформена заявка в mod_proxy, причинен от разименуване на нулев указател.

Сред измененията, несвързани с безопасността:

• В директивите Listen и VirtualHost е добавена поддръжка за указване на зона и област на действие за локални адреси IPv6.
• Актуализирано е съдържанието на файла mime.types.
• В mod_cgid е добавена опционална поддръжка за предаване на файлови дескриптори.
• В модула mod_tls до версия 0.13.0 е актуализиран пакетът rustls-ffi.
• В модула mod_md, използван за автоматизация на получаването и поддръжката на сертификати чрез протокола ACME (Automatic Certificate Management Environment), е добавена директива MDCheckInterval за определяне на интервала за проверка на отзоваване на сертификата.

Източник: opennet.ru