Apache 2.4.49 HTTP-serverudgivelsen er blevet offentliggjort, som præsenterer 27 ændringer og rettet 5 sårbarheder:
- CVE-2021-33193 - mod_http2 modtagelighed over for en ny variant af HTTP Request Smuggling-angrebet, som gør det muligt, ved at sende specialdesignede klientanmodninger, at kile ind i indholdet af andre brugeres anmodninger transmitteret via mod_proxy (f.eks. kan du opnå udskiftning af ondsindet JavaScript-kode i sessionen af en anden bruger af webstedet).
- CVE-2021-40438 - SSRF (Server Side Request Forgery) sårbarhed i mod_proxy, som tillader, ved at sende en specialdesignet uri-sti-anmodning, at omdirigere anmodningen til den server, som angriberen har valgt.
- CVE-2021-39275 - Bufferoverløb i ap_escape_quotes-funktionen. Sårbarheden er markeret som ikke-farlig, da alle standardmoduler ikke videregiver eksterne data til denne funktion. Men det er teoretisk muligt, at der er tredjepartsmoduler, hvorigennem et angreb kan foretages.
- CVE-2021-36160 - Out-of-bounds-læser i mod_proxy_uwsgi-modulet, hvilket resulterer i et nedbrud.
- CVE-2021-34798 - Null pointer-dereference, der får processen til at gå ned ved håndtering af specialudformede anmodninger.
De mest bemærkelsesværdige ikke-sikkerhedsmæssige ændringer er:
- En hel del interne ændringer i mod_ssl. Indstillingerne "ssl_engine_set", "ssl_engine_disable" og "ssl_proxy_enable" er blevet flyttet fra mod_ssl til hovedfyldningen (kernen). Muligheden for at bruge alternative SSL-moduler til at sikre forbindelser via mod_proxy er blevet givet. Tilføjet muligheden for at logge private nøgler, som kan bruges i wireshark til at analysere krypteret trafik.
- Mod_proxy accelereret parsing af unix-socket-stier, der sendes i "proxy:"-URL'er.
- Mulighederne for mod_md-modulet, som bruges til at automatisere modtagelse og vedligeholdelse af certifikater ved hjælp af ACME-protokollen (Automatic Certificate Management Environment), er blevet udvidet. Tilladt citering af domæner i og leverede support til tls-alpn-01 for domænenavne, der ikke var bundet til virtuelle værter.
- Tilføjet muligheden StrictHostCheck for at deaktivere ukonfigurerede værtsnavne som argumenter til "tillad"-listen.
Kilde: opennet.ru