Достъпен е релиз на HTTP сървъра Apache 2.4.62, който премахва две уязвимости и включва 6 изменения. Първата уязвимост (CVE-2024-40898) позволява извършването на атака SSRF (Server-side request forgery) върху mod_rewrite. Проблемът се проявява само на платформата Windows и при изпращане на специално формулирани заявки може да доведе до изтичане на NTLM хешове на сървър, контролирани от атакуващите.
Втората уязвимост (CVE-2024-40725) позволява да се види кода на скриптове, обработката на които е настроена чрез директивата AddType. Например, може да се формулира специално оформена заявка към PHP скрипт, която да доведе до показване на неговото съдържание, а не до изпълнението му. Поправката блокира допълнителен вариант на експлоатация на уязвимостта CVE-2024-39884, отстранена в версия 2.4.61.
От измененията, несвързани с безопасността, се откроява добавянето в mod_ssl на възможността за зареждане на сертификати и ключове от хранилища, поддържащи стандарта pkcs11.
В съответствие с юнския доклад на компанията Netcraft, под управлението на HTTP сървъра Apache работят около 212 млн. сайта (преди година 228 млн.). Дялът на Apache httpd е оценяван на 19.28% от всички сайтове, което му осигурява второ място по популярност в тази категория (дялът на Nginx е 21.35%, Cloudflare — 11.05%, OpenResty (платформа на базата на nginx и LuaJIT) — 0.79%). При разглеждане само на активни сайтове, Apache заема първо място в класацията с дял 19.13% (дялът на Nginx — 18.09%, Cloudflare — 14.80%, Google — 10.01%). Сред милиона най-посещавани сайтове в света, Apache е на трето място с дял 19.69% (начело с Cloudflare — 23.10% и Nginx — 20.50%).
Източник: opennet.ru
