Apache HTTP serveri 2.4.49 väljaanne haavatavuste parandamisega

Avaldatud on HTTP-serveri Apache 2.4.49 versioon, mis sisaldab 27 muudatust ja 5 haavatavust.

• CVE-2021-33193 — mod_http2 haavatavus uue "HTTP Request Smuggling" rünnakutüübi suhtes, mis võimaldab saata spetsiaalselt vormitud kliendi päringute kaudu teiste kasutajate päringute sisu, edastatuna mod_proxy kaudu (näiteks on võimalik saavutada pahatahtliku JavaScript-koodi sisestamine teise saidi kasutaja seanssi).
• CVE-2021-40438 — SSRF-haavatavus (Server Side Request Forgery) mod_proxy-s, mis võimaldab spetsiaalselt vormitud uri-path päringu saatmise kaudu suunata päring ründealti valitud serverisse.
• CVE-2021-39275 — puhversüsteemi ületamine funktsioonis ap_escape_quotes. Haavatavus on märgitud kui mitteohtlik, kuna kõik ametlikud moodulid ei edasta väliseid andmeid sellesse funktsiooni. Teoreetiliselt võivad eksisteerida kolmandate osapoolte moodulid, mille kaudu võiks rünnak toimuda.
• CVE-2021-36160 — mälupiiride ületamine mod_proxy_uwsgi moodulis, mis toob kaasa süsteemi krahhi.
• CVE-2021-34798 — null-näitajate dereferentseerimine, mis põhjustab protsessi krahhi spetsiaalselt vormitud päringute töötlemisel.

Kõige märgatavamad mitteohutusega seotud muudatused:

• Mod_ssl-s on palju sisemisi muudatusi. Mod_ssl-ilt on põhikoormusse (core) üle viidud seadistused "ssl_engine_set", "ssl_engine_disable" ja "ssl_proxy_enable". Pakutakse võimalus kasutada alternatiivseid SSL-mooduleid ühenduste kaitsmiseks läbi mod_proxy. Lisatud on suletud võtmete logimise võimalus, mida saab kasutada wiresharkis krüpteeritud liikluse analüüsimiseks.
• Mod_proxy-s on parandatud unix socketite teede analüüsi kiirus, mis edastatakse URL-is "proxy:".
• Mod_md mooduli võimalusi on laiendatud, mida kasutatakse sertifikaatide automaatseks saamiseks ja haldamiseks, kasutades ACME (Automatic Certificate Management Environment) protokolli. Lubatud on domeenide tsitaatidesse paigutamine ja toetatakse tls-alpn-01. domeeninime, mis ei ole seotud virtuaalsete hostidega.
• Lisatud on parametriga StrictHostCheck, mis keelab häälestamata hostide nimede määramise "allow" loendi argumentide hulka.

Allikas: opennet.ru