Apache HTTP-server 2.4.49 er udgivet, som indeholder 27 ændringer og retter 5 sårbarheder:
- CVE-2021-33193 – mod_http2 er sårbar overfor en ny variant af angrebet "HTTP Request Smuggling", der muliggør, at forhåndsformaterede klientanmodninger kan infiltrere indholdet af andre brugeres anmodninger, der sendes via mod_proxy (for eksempel kan det føre til indsprøjtning af skadelig JavaScript-kode i en anden brugers session).
- CVE-2021-40438 – SSRF-sårbarhed (Server Side Request Forgery) i mod_proxy, der gør det muligt at sende en specielt formateret anmodning uri-path for at omdirigere anmodningen til en server valgt af angriberen.
- CVE-2021-39275 – buffer overflow i funktionen ap_escape_quotes. Sårbarheden er klassificeret som ikke-farlig, da alle standardmoduler ikke sender eksterne data til denne funktion. Men det er teoretisk muligt, at der findes tredjepartsmoduler, der kan bruges til et angreb.
- CVE-2021-36160 – læsninger uden for buffergrænsen i mod_proxy_uwsgi-modulet, hvilket resulterer i nedbrud.
- CVE-2021-34798 – dereferering af en nul-peger, hvilket fører til nedbrud af processen ved behandling af specielt formaterede anmodninger.
De mest markante ændringer, der ikke vedrører sikkerhed:
- Der er mange interne ændringer i mod_ssl. Indstillingerne "ssl_engine_set", "ssl_engine_disable" og "ssl_proxy_enable" er flyttet fra mod_ssl til kernekoden. Muligheden for at anvende alternative SSL-moduler til at beskytte forbindelser via mod_proxy er blevet tilføjet. Muligheden for at føre log over lukkede nøgler er blevet tilføjet, som kan bruges i wireshark til at analysere krypteret trafik.
- I mod_proxy er analysen af paths via unix socket, der sendes i URL'en "proxy:", blevet hurtigere.
- Mulighederne i mod_md-modulet, der anvendes til automatisering af modtagelse og vedligeholdelse af certifikater ved brug af ACME-protokollen (Automatic Certificate Management Environment), er blevet udvidet. Det er tilladt at indramme domæner i med citationstegn og support for tls-alpn-01 er blevet tilføjet til domenenavne, der ikke er bundet til virtuelle værter.
- Parameteren StrictHostCheck er blevet tilføjet, der forbyder angivelse af ikke-konfigurerede vært-navne i 'allow'-listen.
Kilde: opennet.ru
