La version HTTP du serveur Apache 2.4.62 est disponible, corrigeant deux vulnérabilités et apportant six modifications. La première vulnérabilité (CVE-2024-40898) permet une attaque SSRF (Server-side request forgery) sur mod_rewrite. Le problème se manifeste uniquement sur la plateforme Windows et, en envoyant des requêtes spécialement conçues, peut entraîner la fuite de hachages NTLM vers un serveur contrôlé par les attaquants.
La deuxième vulnérabilité (CVE-2024-40725) permet de visualiser le code des scripts gérés à l'aide de la directive AddType. Par exemple, il est possible de former une requête spécialement conçue à un script PHP, ce qui entraînera l'affichage de son contenu au lieu de son exécution. Le correctif bloque une autre méthode d'exploitation de la vulnérabilité CVE-2024-39884, résolue dans la version 2.4.61.
Parmi les modifications non liées à la sécurité, on note l'ajout dans mod_ssl de la possibilité de charger des certificats et des clés à partir de magasins supportant la norme pkcs11.
Selon le rapport de juin de Netcraft, environ 212 millions de sites web fonctionnent sous le serveur HTTP Apache (contre 228 millions l'année dernière). La part du serveur Apache httpd est estimée à 19,28 % de tous les sites, ce qui correspond à la deuxième place de popularité dans cette catégorie (part de Nginx — 21,35 %, Cloudflare — 11,05 %, OpenResty (une plateforme basée sur nginx et LuaJIT) — 0,79 %). Lorsqu'on considère uniquement les sites actifs, Apache occupe la première place dans le classement avec une part de 19,13 % (part de Nginx — 18,09 %, Cloudflare — 14,80 %, Google — 10,01 %). Parmi le million de sites les plus visités au monde, Apache se classe troisième avec une part de 19,69 % (Cloudflare — 23,10 % et Nginx — 20,50 % sont en tête).
Source : opennet.ru
