Byla vydána verze HTTP serveru Apache 2.4.61, která byla zveřejněna téměř okamžitě po vydání 2.4.60 a zahrnuje opravu regresní chyby, jež způsobila zranitelnost (CVE-2024-39884), umožňující zobrazení kódu skriptů, jejichž zpracování je nastaveno pomocí direktivy AddType (například je možné vytvořit speciálně formátovaný požadavek na PHP skript, který způsobí zobrazení jeho obsahu namísto provedení).
Ve verzi Apache httpd 2.4.60 bylo opraveno 8 zranitelností, z nichž 5 je označeno jako kritické, a také bylo představeno 13 změn. Zjistené zranitelnosti:
- CVE-2024-38473 — problém v mod_proxy umožňuje obcházení autentifikace k backendovým službám prostřednictvím použití nesprávného kódování v URL.
- CVE-2024-38476 — pokud je přítomna zranitelná aplikace používaná jako backend, může dojít k provedení lokálních skriptů nebo úniku informací.
- CVE-2024-38474, CVE-2024-38475 — nesprávné escapování výstupu mod_rewrite umožňuje útočníkovi odrazit URL na adresář v místním souborovém systému, který je zpracován HTTP serverem, ale není dostupný přes odkaz.
- CVE-2024-38472 — možnost provádění SSRF útoku proti servery na platformě Windows.
- CVE-2024-39573 — možnost provedení SSRF (Server-side request forgery) útoku na mod_rewrite, umožňuje zpracování URL v mod_proxy pomocí nebezpečných pravidel (RewriteRule) přítomných v konfiguraci.
- CVE-2024-36387 — Denial of Service útok způsobený dereferencováním nulového ukazatele při použití protokolu WebSocket nad HTTP/2.
- CVE-2024-38477 — Denial of Service při zpracování speciálně formátovaného požadavku v mod_proxy, způsobeného dereferencováním nulového ukazatele.
Mezi změnami nesouvisejícími s bezpečností:
- Byla přidána podpora specifikace zóny a rozsahu lokálních IPv6 adres v direktivách Listen a VirtualHost.
- Obsah souboru mime.types byl aktualizován.
- Do mod_cgid byla přidána volitelná podpora pro přenos souborových deskriptorů.
- V modulu mod_tls do verze 0.13.0 byl aktualizován balíček rustls-ffi.
- V modulu mod_md, používaném pro automatizaci získávání a správy certifikátů pomocí protokolu ACME (Automatizované řízení správy certifikátů), byla přidána direktiva MDCheckInterval pro určení intervalu kontroly odvolání certifikátu.
Zdroj: opennet.ru
