Dostupan je izlazak HTTP-servera Apache 2.4.61, koji je objavljen gotovo odmah nakon izdanja 2.4.60 i uključuje ispravku regresivne promjene koja je uzrokovala ranjivost (CVE-2024-39884), koja omogućava prikazivanje koda skripti čija je obrada postavljena pomoću direktive AddType (na primjer, može se oblikovati posebno formatirani zahtjev za PHP-skript koji će prikazati njezin sadržaj umjesto izvršavanja).
U verziji Apache httpd 2.4.60 uklonjeno je 8 ranjivosti, od kojih je 5 označeno kao ozbiljne, a predstavljeno je i 13 promjena. Utvrđene ranjivosti:
- CVE-2024-38473 — problem u mod_proxy, koji omogućava zaobilaženje autentifikacije na uslugama u pozadini korištenjem neispravnog kodiranja u URL-u.
- CVE-2024-38476 — u prisustvu ranjive aplikacije koja se koristi kao pozadina, može doći do izvođenja lokalnih skripti ili curenja informacija.
- CVE-2024-38474, CVE-2024-38475 — neispravno kodiranje izlaza mod_rewrite omogućava napadaču da odrazi URL na direktorij u lokalnoj FS, koji HTTP-server obrađuje, ali nije dostupan putem veze.
- CVE-2024-38472 — mogućnost provođenja SSRF napada protiv poslužitelja na platformi Windows.
- CVE-2024-39573 — mogućnost provođenja SSRF (Server-side request forgery) napada na mod_rewrite, koja omogućava obradu URL-a u mod_proxy pomoću prisutnih nesigurnih pravila u postavkama (RewriteRule).
- CVE-2024-36387 — usluga na zahtjev zbog dereferenciranja nultog pokazivača prilikom korištenja WebSocket protokola preko HTTP/2.
- CVE-2024-38477 — usluga na zahtjev prilikom obrade posebno oblikovanog zahtjeva u mod_proxy, uzrokovana dereferenciranjem nultog pokazivača.
Među promjenama koje nisu povezane s sigurnošću:
- U direktivama Listen i VirtualHost dodana je podrška za određivanje područja i dometa lokalnih IPv6 adresa.
- Ažuriran je sadržaj datoteke mime.types.
- U mod_cgid dodana je opcionalna podrška za prijenos datotečnih deskriptora.
- U modulu mod_tls do verzije 0.13.0 ažuriran je paket rustls-ffi.
- U modulu mod_md, koji se koristi za automatizaciju dobivanja i održavanja certifikata korištenjem ACME (Automatic Certificate Management Environment) protokola, uvedena je direktiva MDCheckInterval za određivanje intervala provjere povlačenja certifikata.
Izvor: opennet.ru
