Publicouse a versión do servidor HTTP Apache 2.4.49, que presenta 27 cambios e solucionou 5 vulnerabilidades:
- CVE-2021-33193 - susceptibilidade de mod_http2 a unha nova variante do ataque HTTP Request Smuggling, que permite, mediante o envío de solicitudes de clientes especialmente deseñadas, meterse no contido das solicitudes doutros usuarios transmitidas a través de mod_proxy (por exemplo, pode conseguir o substitución de código JavaScript malicioso na sesión doutro usuario do sitio).
- CVE-2021-40438 - Vulnerabilidade SSRF (Server Side Request Forgery) en mod_proxy, que permite, mediante o envío dunha solicitude de ruta uri deseñada especialmente, redirixir a solicitude ao servidor elixido polo atacante.
- CVE-2021-39275 - Desbordamento do búfer na función ap_escape_quotes. A vulnerabilidade está marcada como non perigosa, xa que todos os módulos estándar non pasan datos externos a esta función. Pero teoricamente é posible que haxa módulos de terceiros a través dos cales se poida realizar un ataque.
- CVE-2021-36160: lecturas fóra dos límites no módulo mod_proxy_uwsgi, o que provoca un fallo.
- CVE-2021-34798 - Desreferencia de punteiro nulo que provoca que o proceso falle ao xestionar solicitudes especialmente elaboradas.
Os cambios non relacionados coa seguridade máis salientables son:
- Moitos cambios internos en mod_ssl. A configuración "ssl_engine_set", "ssl_engine_disable" e "ssl_proxy_enable" moveuse de mod_ssl ao recheo principal (núcleo). Proporcionouse a posibilidade de usar módulos SSL alternativos para protexer as conexións mediante mod_proxy. Engadiuse a posibilidade de rexistrar claves privadas, que se poden usar en wireshark para analizar o tráfico cifrado.
- A análise acelerada de Mod_proxy das rutas de socket Unix pasadas nos URL "proxy:".
- Ampliáronse as capacidades do módulo mod_md, que se utiliza para automatizar a recepción e mantemento de certificados mediante o protocolo ACME (Automatic Certificate Management Environment). Permítese citar dominios en e proporcionou soporte para tls-alpn-01 para nomes de dominio non vinculados a hosts virtuais.
- Engadiuse a opción StrictHostCheck para desactivar os nomes de host non configurados como argumentos á lista "permitir".
Fonte: opennet.ru