Es wurde die HTTP-Serverversion Apache 2.4.49 veröffentlicht, die 27 Änderungen aufweist und 5 Schwachstellen behebt:
- CVE-2021-33193 – mod_http2 ist anfällig für eine neue Variante des HTTP-Request-Smuggling-Angriffs, der es durch das Senden speziell entwickelter Client-Anfragen ermöglicht, sich in den Inhalt der über mod_proxy übermittelten Anfragen anderer Benutzer einzuschleusen (Sie können beispielsweise Folgendes erreichen). Ersetzen von bösartigem JavaScript-Code in der Sitzung eines anderen Benutzers der Website).
- CVE-2021-40438 – SSRF-Schwachstelle (Server Side Request Forgery) in mod_proxy, die es ermöglicht, durch Senden einer speziell entwickelten URI-Pfad-Anfrage die Anfrage an den vom Angreifer ausgewählten Server umzuleiten.
- CVE-2021-39275 – Pufferüberlauf in der Funktion ap_escape_quotes. Die Schwachstelle wird als ungefährlich markiert, da nicht alle Standardmodule externe Daten an diese Funktion übergeben. Es ist aber theoretisch möglich, dass es Module von Drittanbietern gibt, über die ein Angriff erfolgen kann.
- CVE-2021-36160 – Lesevorgänge außerhalb der Grenzen im Modul mod_proxy_uwsgi, was zu einem Absturz führt.
- CVE-2021-34798 – Nullzeiger-Dereferenzierung führt zum Absturz des Prozesses bei der Verarbeitung speziell gestalteter Anforderungen.
Die bemerkenswertesten nicht sicherheitsrelevanten Änderungen sind:
- Ziemlich viele interne Änderungen in mod_ssl. Die Einstellungen „ssl_engine_set“, „ssl_engine_disable“ und „ssl_proxy_enable“ wurden von mod_ssl in das Haupt-Stuffing (Core) verschoben. Es besteht die Möglichkeit, alternative SSL-Module zum Sichern von Verbindungen über mod_proxy zu verwenden. Es wurde die Möglichkeit hinzugefügt, private Schlüssel zu protokollieren, die in Wireshark zur Analyse des verschlüsselten Datenverkehrs verwendet werden können.
- Mod_proxy beschleunigte das Parsen von Unix-Socket-Pfaden, die in „proxy:“-URLs übergeben wurden.
- Die Fähigkeiten des Moduls mod_md, das zur Automatisierung des Empfangs und der Wartung von Zertifikaten mithilfe des ACME-Protokolls (Automatic Certificate Management Environment) verwendet wird, wurden erweitert. Erlaubte Zitierung von Domains in und stellte Unterstützung für tls-alpn-01 für Domänennamen bereit, die nicht an virtuelle Hosts gebunden sind.
- Option „StrictHostCheck“ hinzugefügt, um nicht konfigurierte Hostnamen als Argumente für die „Zulassen“-Liste zu deaktivieren.
Source: opennet.ru