Byl vydán nový release HTTP serveru Apache 2.4.49, který obsahuje 27 změn a opravuje 5 zranitelností:
- CVE-2021-33193 — zranitelnost mod_http2 vůči novému typu útoku "HTTP Request Smuggling", který umožňuje pomocí speciálně formátovaných klientských požadavků se vměšovat do obsahu požadavků jiných uživatelů, přenášených pomocí mod_proxy (například lze dosáhnout vložení škodlivého JavaScript kódu do relace jiného uživatele webu).
- CVE-2021-40438 — zranitelnost SSRF (Server Side Request Forgery) v mod_proxy, která umožňuje přesměrování požadavku na server, který si útočník vybere, pomocí zaslání speciálně vytvořeného požadavku uri-path.
- CVE-2021-39275 — přetečení zásobníku ve funkci ap_escape_quotes. Zranitelnost je označena jako nebezpečná, protože všechny standardní moduly nepředávají externí data této funkci. Teoreticky však mohou existovat třetí strany, přes které může být útok proveden.
- CVE-2021-36160 — čtení z paměťového prostoru mimo hranice zásobníku v modulu mod_proxy_uwsgi, což vede k pádu.
- CVE-2021-34798 — dereference nulového ukazatele, což vede k pádu procesu při zpracování speciálně formátovaných požadavků.
Nejvýznamnější změny, které nejsou spojeny s bezpečností:
- Bylo provedeno mnoho interních změn v mod_ssl. Z mod_ssl byly do hlavních komponent (core) přesunuty nastavení "ssl_engine_set", "ssl_engine_disable" a "ssl_proxy_enable". Byla poskytnuta možnost použití alternativních SSL-modulů pro zabezpečení spojení prostřednictvím mod_proxy. Přidána možnost vedení záznamu uzavřených klíčů, který lze použít v wiresharku pro analýzu šifrovaného provozu.
- V mod_proxy bylo zrychleno zpracování cest s unix sockety přenášenými v URL "proxy:".
- Rozšířeny možnosti modulu mod_md, který se používá pro automatizaci získávání a správy certifikátů pomocí protokolu ACME (Automatic Certificate Management Environment). Umožněno formátování domén s uvozovkami v a poskytnuta podpora tls-alpn-01 pro doménových jmen, které nejsou vázány na virtuální hostitele.
- Přidána možnost StrictHostCheck, která zakazuje uvádění nenastavených názvů hostitelů mezi argumenty v seznamu "allow".
Zdroj: opennet.ru
