Apache 2.4.61 HTTP serveri väljalaskmine turvavigade parandamisega

On avalik HTTP-serveri Apache 2.4.61 versioon, mis ilmus peaaegu kohe pärast 2.4.60 versiooni väljaandmist ja sisaldab regressiooni parandust, mis põhjustas haavatavuse (CVE-2024-39884), mis võimaldab näha skriptide koodi, mille töötlemine on seadistatud AddType direktiivi abil (näiteks võib vormistada spetsiaalselt kujundatud päringu PHP-skripti kohta, mis toob välja selle sisu, mitte ei käivita).

Apache httpd 2.4.60 versioonis on lahendatud 8 haavatavust, millest 5 on märgitud kui olulised, ning esitatud on 13 muudatust. Tuvastatud haavatavused:

• CVE-2024-38473 — probleem mod_proxy's, mis võimaldab vale kodeerimise kasutamisel URL-is autentimise edestamise teenustele tagaküljel.
• CVE-2024-38476 — haavatava rakenduse kasutamisel tagaküljel on võimalik täita kohalikke skripte või lekkinud teavet.
• CVE-2024-38474, CVE-2024-38475 — vale väljundi escaping mod_rewrite'is, mis võimaldab ründajal suunata URL-i katalooge kohaliku failisüsteemi kaudu, mis on HTTP-serveris töödeldud, kuid linki kaudu mitte kättesaadav.
• CVE-2024-38472 — SSRF rünnaku võimalus serverid Windows platvormil.
• CVE-2024-39573 — SSRF (Server-side request forgery) rünnaku võimalus mod_rewrite'i suhtes, mis võimaldab URL-i töötlemist mod_proxy's koos olemasolevate ohtlike RewriteRule reeglitega.
• CVE-2024-36387 — teenuse keelamine nullnäidiku dereferentseerimise tõttu HTTP/2 protokolli kaudu WebSocketi kasutamisel.
• CVE-2024-38477 — teenuse keelamine spetsiaalselt kujundatud päringu töötlemisel mod_proxy's, mille põhjustas nullnäidiku dereferentseerimine.

Turvalisusega mitteseotud muudatuste seas:

• Direktiivides Listen ja VirtualHost on lisatud tugi kohalike IPv6 aadresside tsoonide ja ulatuse määramiseks.
• mime.types faili sisu on uuendatud.
• mod_cgid-s on lisatud valikuline toetus failikirje edastamiseks.
• mod_tls moodulis on variante 0.13.0 uuendatud rustls-ffi pakett.
• mod_md moodulis, mis kasutatakse sertifikaatide automaatseks hankimiseks ja hooldamiseks ACME (Automatic Certificate Management Environment) protokolli abil, on ilmnenud MDCheckInterval direktiiv, et määrata sertifikaadi tühistamise kontrollimise intervall.

Allikas: opennet.ru