Avaldatud on Apache 2.4.49 HTTP-serveri väljalase, mis sisaldab 27 muudatust ja parandab 5 haavatavust:
- CVE-2021-33193 – mod_http2 vastuvõtlikkus HTTP Request Smuggling rünnaku uuele variandile, mis võimaldab spetsiaalselt loodud kliendipäringuid saates kiiluda teiste kasutajate päringute sisusse, mis edastatakse mod_proxy kaudu (näiteks saate saavutada pahatahtliku JavaScripti koodi asendamine saidi teise kasutaja seansis) .
- CVE-2021-40438 – SSRF (Server Side Request Forgery) haavatavus mod_proxys, mis võimaldab spetsiaalselt loodud uri-tee päringu saates suunata päringu ründaja valitud serverisse.
- CVE-2021-39275 – puhvri ületäitumine funktsioonis ap_escape_quotes. Haavatavus on märgitud mitteohtlikuks, kuna kõik standardmoodulid ei edasta sellele funktsioonile väliseid andmeid. Kuid teoreetiliselt on võimalik, et on olemas kolmanda osapoole moodulid, mille kaudu saab rünnata.
- CVE-2021-36160 – moodulis mod_proxy_uwsgi loeb piiridest välja, mille tulemuseks on krahh.
- CVE-2021-34798 – nullkursori viide, mis põhjustab spetsiaalselt koostatud taotluste käsitlemisel protsessi kokkujooksmise.
Kõige olulisemad turvalisusega mitteseotud muudatused on järgmised:
- Päris palju sisemisi muudatusi mod_ssl-is. Sätted "ssl_engine_set", "ssl_engine_disable" ja "ssl_proxy_enable" on teisaldatud mod_ssl-st põhitäitmisse (tuumikusse). Võimalus kasutada alternatiivseid SSL-mooduleid ühenduste turvamiseks mod_proxy kaudu. Lisatud on privaatvõtmete logimise võimalus, mida saab Wiresharkis kasutada krüptitud liikluse analüüsimiseks.
- Mod_proxy kiirendas "puhverserveri" URL-ides edastatud unixi sokliteede sõelumist.
- Laiendatud on mod_md mooduli võimalusi, mida kasutatakse ACME (Automatic Certificate Management Environment) protokolli kasutades sertifikaatide vastuvõtmise ja hoolduse automatiseerimiseks. Domeenide tsiteerimine on lubatud ja pakkus tls-alpn-01 tuge domeeninimede jaoks, mis ei ole seotud virtuaalsete hostidega.
- Lisati suvand StrictHostCheck, et keelata konfigureerimata hostinimed argumentidena loendisse "lubamine".
Allikas: opennet.ru