Megjelent az Apache HTTP Server 2.4.49-es verziója, amely 27 módosítást és 5 sérülékenységet tartalmaz:
- CVE-2021-33193 — a mod_http2 újabb változatú „HTTP Request Smuggling” támadásnak való kitettség, amely lehetővé teszi, hogy a különféle ügyfélkérések különleges formázásával más felhasználók kérésének tartalmába beékelődjön, amelyeket a mod_proxy-n keresztül továbbítanak (például lehetőség nyílik rosszindulatú JavaScript-kód beillesztésére egy másik felhasználó webhelyi munkamenetébe).
- CVE-2021-40438 — SSRF (Server Side Request Forgery) sérülékenység a mod_proxy-ban, amely lehetővé teszi, hogy egy különlegesen megformázott uri-path kérést elküldve átirányítást kérjen egy támadó által kiválasztott szerverre.
- CVE-2021-39275 — puffer túlcsordulás az ap_escape_quotes függvényben. A sérülékenységet nem veszélyesnek minősítették, mivel az összes szabványos modul nem ad át külső adatokat ennek a függvénynek. Elméletileg azonban létezhetnek harmadik féltől származó modulok, amelyeken keresztül támadást lehet végrehajtani.
- CVE-2021-36160 — a buffer határon kívüli olvasás a mod_proxy_uwsgi modulban, amely összeomláshoz vezet.
- CVE-2021-34798 — null pointer dereferálás, amely a speciálisan megformázott kérések feldolgozása során a folyamat összeomlását okozza.
A legszembetűnőbb nem biztonsági jellegű változások:
- Számos belső változtatás történt a mod_ssl-ban. A mod_sslból a fő rendszerbe (core) kerültek át a „ssl_engine_set”, „ssl_engine_disable” és „ssl_proxy_enable” beállítások. Lehetőséget biztosítanak alternatív modulok használatára a mod_proxy-n keresztüli kapcsolatok védelméhez. Létrehozták a „zárt kulcsok” naplózásának lehetőségét, amelyet a wireshark-ban lehet használni a titkosított forgalom elemzésére. SSLA mod_proxy-ban felgyorsult a Unix socketek URL „proxy:” bemeneteként való feldolgozása.
- Bővült a mod_md modul képessége, amely az ACME (Automatic Certificate Management Environment) protokoll használatával automatikus tanúsítványok megszerzésére és fenntartására szolgál. Engedélyezett a domain nevek idézőjelek közé foglalása a szerkezetben, és támogatás nyújt a tls-alpn-01 számára, amely nem kötődik virtuális gazdagépekhez.
- Hozzáadott egy StrictHostCheck paramétert, amely megtiltja, hogy a „allow” lista argumentumai között nem konfigurált hostneveket adjunk meg. domain nevekkelMegjelent az Apache HTTP Server 2.4.49-es verziója, amely 27 módosítást és 5 sérülékenységet tartalmaz: CVE-2021-33193 - a mod_http2 új verziójú támadásának alávetettsége "HTTP Request.
- 🥇Az Apache HTTP Server 2.4.49-es verziója a sérülékenységek kezelésével | ProHoster
Forrás: opennet.ru
