Apache HTTP-server 2.4.61 er nu tilgængelig, som blev offentliggjort næsten umiddelbart efter udgivelsen af 2.4.60 og inkluderer en rettelse af et regressionsproblem, der førte til en sårbarhed (CVE-2024-39884), som muliggør adgang til kodestykker af scripts, hvis behandling er konfigureret ved hjælp af AddType-direktivet (for eksempel kan en specielt formateret anmodning til en PHP-script genereres, som vil vise dets indhold i stedet for at udføre det).
I Apache httpd version 2.4.60 er der blevet rettet 8 sårbarheder, hvoraf 5 er markeret som vigtige, samt præsenteret 13 ændringer. De identificerede sårbarheder er:
- CVE-2024-38473 — et problem i mod_proxy, der muliggør omgåelse af autentificering til backend-tjenester gennem ukorrekt kodning i URL'en.
- CVE-2024-38476 — hvis der er en sårbar applikation, der bruges som backend, kan det medføre udførelse af lokale scripts eller lækage af information.
- CVE-2024-38474, CVE-2024-38475 — forkert escape-behandling af output fra mod_rewrite, hvilket giver en angriber mulighed for at reflektere en URL på et bibliotek i det lokale filsystem, som behandles af HTTP-serveren, men ikke er tilgængelig via et link.
- CVE-2024-38472 — mulighed for at udføre en SSRF-angreb mod servere på Windows-platformen.
- CVE-2024-39573 — mulighed for at udføre en SSRF (Server-Side Request Forgery) angreb mod mod_rewrite, hvilket muliggør behandling af URL'er i mod_proxy ved hjælp af usikre regler i konfigurationerne (RewriteRule).
- CVE-2024-36387 — denial of service på grund af de-referencering af en nul-peger ved brug af WebSocket-protokollen over HTTP/2.
- CVE-2024-38477 — denial of service ved behandling af en specielt formateret anmodning i mod_proxy, forårsaget af de-referencering af en nul-peger.
Blandt ændringer, der ikke er relateret til sikkerhed:
- I direktiverne Listen og VirtualHost er der tilføjet understøttelse til angivelse af zonen og omfanget af lokale IPv6-adresser.
- Indholdet af mime.types-filen er blevet opdateret.
- I mod_cgid er der tilføjet valgfri understøttelse af overførsel af filbeskrivere.
- I modulet mod_tls er pakkens rustls-ffi blevet opdateret til version 0.13.0.
- I modulet mod_md, der anvendes til automatisering af indhentning og vedligeholdelse af certifikater ved hjælp af ACME (Automatic Certificate Management Environment) protokollen, er der introduceret direktivet MDCheckInterval til at bestemme intervallet for kontrol af certifikatets tilbagekaldelse.
Kilde: opennet.ru
