Apache 2.4.49 HTTP-tsjinner release is publisearre, dy't 27 wizigingen presintearret en 5 kwetsberens fêst:
- CVE-2021-33193 - mod_http2 gefoelichheid foar in nije fariant fan 'e HTTP Request Smuggling-oanfal, wêrtroch't, troch spesjaal ûntworpen kliïntoanfragen te ferstjoeren, yn 'e ynhâld fan fersiken fan oare brûkers oerbrocht fia mod_proxy (jo kinne bygelyks de ferfanging fan kweade JavaScript-koade yn 'e sesje fan in oare brûker fan' e side).
- CVE-2021-40438 - SSRF (Server Side Request Forgery) kwetsberens yn mod_proxy, wêrtroch, troch it ferstjoeren fan in spesjaal ûntworpen uri-paad-fersyk, it fersyk troch te stjoeren nei de tsjinner keazen troch de oanfaller.
- CVE-2021-39275 - Bufferoerstream yn ap_escape_quotes-funksje. De kwetsberens wurdt markearre as net-gefaarlik, om't alle standertmodules gjin eksterne gegevens trochjaan oan dizze funksje. Mar it is teoretysk mooglik dat der modules fan tredden binne wêrmei in oanfal kin wurde makke.
- CVE-2021-36160 - Out-of-bounds lêzen yn mod_proxy_uwsgi module, resultearret yn in crash.
- CVE-2021-34798 - Null pointer dereference wêrtroch proses crasht by it behanneljen fan spesjaal makke oanfragen.
De meast opfallende net-feiligenswizigingen binne:
- In soad ynterne feroarings yn mod_ssl. De "ssl_engine_set", "ssl_engine_disable" en "ssl_proxy_enable" ynstellings binne ferpleatst fan mod_ssl nei de haadstuffing (kearn). De mooglikheid om alternative SSL-modules te brûken om ferbiningen te befeiligjen fia mod_proxy is levere. De mooglikheid tafoege om privee kaaien oan te melden, dy't kinne wurde brûkt yn wireshark om fersifere ferkear te analysearjen.
- Mod_proxy fersnelde parsing fan unix-socketpaden trochjûn yn "proxy:" URL's.
- De mooglikheden fan 'e mod_md-module, dy't brûkt wurdt om de ûntfangst en ûnderhâld fan sertifikaten te automatisearjen mei it ACME (Automatic Certificate Management Environment) protokol, binne útwreide. Tastiene quote fan domeinen yn en levere stipe foar tls-alpn-01 foar domeinnammen dy't net bûn oan firtuele hosts.
- De StrictHostCheck-opsje tafoege om net-konfigureare hostnammen as arguminten út te skeakeljen foar de list "tastean".
Boarne: opennet.ru