Está disponible el lanzamiento del servidor HTTP Apache 2.4.62, que corrige dos vulnerabilidades y realiza 6 cambios. La primera vulnerabilidad (CVE-2024-40898) permite llevar a cabo un ataque SSRF (Server-side request forgery) en mod_rewrite. Este problema se manifiesta solo en la plataforma Windows y, al enviar solicitudes específicamente diseñadas, puede provocar la filtración de hashes NTLM al servidor controlado por los atacantes.
La segunda vulnerabilidad (CVE-2024-40725) permite ver el código de scripts configurados mediante la directiva AddType. Por ejemplo, se puede formular una solicitud específicamente diseñada a un script PHP que llevará a mostrar su contenido en lugar de ejecutarlo. La corrección bloquea una variante adicional de explotación de la vulnerabilidad CVE-2024-39884, corregida en la versión 2.4.61.
Entre los cambios no relacionados con la seguridad destaca la adición en mod_ssl de la capacidad para cargar certificados y claves desde almacenes que soportan el estándar pkcs11.
De acuerdo con el informe de junio de la empresa Netcraft, alrededor de 212 millones de sitios (228 millones hace un año) están bajo el servidor HTTP Apache. La cuota de Apache httpd se estima en 19.28% de todos los sitios, lo que corresponde al segundo lugar en popularidad en esta categoría (la cuota de Nginx es 21.35%, Cloudflare 11.05%, OpenResty (plataforma basada en nginx y LuaJIT) 0.79%). Al considerar solo sitios activos, Apache ocupa el primer lugar en el ranking con una cuota del 19.13% (la cuota de Nginx es 18.09%, Cloudflare 14.80%, Google 10.01%). Entre el millón de sitios más visitados en el mundo, Apache ocupa el tercer lugar con una cuota del 19.69% (lideran Cloudflare con 23.10% y Nginx con 20.50%).
Fuente: opennet.ru
