Apache 2.4.61 http-serveri väljaandmine turvaaukude kõrvaldamisega

Saada HTTP-serveri Apache 2.4.61, mis avaldati vahetult pärast 2.4.60 väljaannet, sisaldab regressioonivea parandust, mis põhjustas haavatavuse (CVE-2024-39884), võimaldades vaadata skriptide koodi, mille töötlemine on seadistatud AddType direktiivi abil (näiteks saab esitada spetsiaalselt kujundatud päringu PHP-skriptile, mis toob esile selle sisu, mitte ei täida seda).

Apache httpd versioonis 2.4.60 on kõrvaldatud 8 haavatavust, millest 5 on märgitud olulistena, ja samuti on esitatud 13 muudatust. Leitud haavatavused:

• CVE-2024-38473 — probleem mod_proxy-s, mis võimaldab vale kodeerimise kaudu URL-is vältida autentimist taustateenustele.
• CVE-2024-38476 — haavatava rakenduse olemasolu korral, mida kasutatakse taustana, on võimalik sooritada kohalikke skripti täitmise või teabe lekke rünnakuid.
• CVE-2024-38474, CVE-2024-38475 — vale mod_rewrite väljundi põgenemine võimaldab ründajal peegeldada URL-i kohalikku katalooge, mida HTTP-server töötleb, kuid millele ei pääse linkide kaudu ligi.
• CVE-2024-38472 — võimalus teostada SSRF rünnaku serverite Windows platvormil.
• CVE-2024-39573 — SSRF (Server-side request forgery) rünnaku võimalus mod_rewrite'is, mis võimaldab URL-i töötlemist mod_proxy kaudu ebaturvaliste reeglite (RewriteRule) kohaloleku tõttu.
• CVE-2024-36387 — teenuse katkestamine nullpunkti dereferentsimise tõttu WebSocketi protokolli kasutamisel HTTP/2 peal.
• CVE-2024-38477 — teenuse katkestamine spetsiifiliselt vormindatud päringu töötlemisel mod_proxy-s, mis on põhjustatud nullpunkti dereferentsimisest.

Ohutusega mitteseotud muudatused:

• Direktiivides Listen ja VirtualHost on lisatud tugi IPv6 kohalike aadresside piirkonna ja ulatuse määramiseks.
• Muutunud on faili mime.types sisu.
• Mod_cgid on lisatud valikuline tugi failide descriptorite edastamiseks.
• Modulis mod_tls on versioonis 0.13.0 uuendatud rustls-ffi pakett.
• Mod_md moodulis, mida kasutatakse sertifikaatide automaatseks hankimiseks ja haldamiseks ACME (Automatic Certificate Management Environment) protokolli abil, on lisatud direktiiv MDCheckInterval, et määrata sertifikaadi tühistamise kontrollimise vahe.

Allikas: opennet.ru