U servitore HTTP Apache 2.4.49 hè statu liberatu, introducendu 27 cambiamenti è eliminendu 5 vulnerabilità:
- CVE-2021-33193 - mod_http2 hè suscettibile à una nova variante di l'attaccu "HTTP Request Smuggling", chì permette, mandendu richieste di clienti apposta, di cunghjuntà in u cuntenutu di e richieste da altri utilizatori trasmessi per mod_proxy (per esempiu, pudete ottene l'inserimentu di codice JavaScript maliziusu in a sessione di un altru utilizatore di u situ).
- CVE-2021-40438 hè una vulnerabilità SSRF (Server Side Request Forgery) in mod_proxy, chì permette chì a dumanda sia rediretta à un servitore sceltu da l'attaccante mandendu una dumanda uri-path apposta.
- CVE-2021-39275 - Buffer overflow in a funzione ap_escape_quotes. A vulnerabilità hè marcata cum'è benigna perchè tutti i moduli standard ùn passanu micca dati esterni à sta funzione. Ma hè teoricamente pussibule chì ci sò moduli di terzu per mezu di quale un attaccu pò esse realizatu.
- CVE-2021-36160 - Letture fora di i limiti in u modulu mod_proxy_uwsgi chì causanu un crash.
- CVE-2021-34798 - Un dereference di puntatore NULL chì pruvuca un crash di prucessu quandu si tratta di richieste apposta.
I cambiamenti più notevuli non-security:
- Molti cambiamenti interni in mod_ssl. I paràmetri "ssl_engine_set", "ssl_engine_disable" è "ssl_proxy_enable" sò stati spustati da mod_ssl à u riempimentu principale (core). Hè pussibule aduprà moduli SSL alternativu per prutege e cunnessione via mod_proxy. Aggiunta a capacità di logà e chjave private, chì ponu esse aduprate in wireshark per analizà u trafficu cifratu.
- In mod_proxy, l'analisi di i percorsi di socket Unix passati in l'URL "proxy:" hè stata accelerata.
- E capacità di u modulu mod_md, utilizatu per automatizà a ricezione è u mantenimentu di i certificati cù u protocolu ACME (Automatic Certificate Management Environment), sò stati allargati. Hè permessu di circundà i domini cù virgulette in è hà furnitu supportu per tls-alpn-01 per i nomi di duminiu micca assuciati cù l'ospiti virtuali.
- Aggiuntu u paràmetru StrictHostCheck, chì pruibisce di specificà nomi d'ospiti micca cunfigurati trà l'argumenti di a lista "permette".
Source: opennet.ru