Megjelent az Apache HTTP-szerver 2.4.61-es kiadása, amely szinte azonnal a 2.4.60-as kiadás után került nyilvánosságra, és tartalmaz egy regressziós hiba javítását, amely egy sebezhetőséget (CVE-2024-39884) okozott, amely lehetővé tette a beállított AddType direktívával történő feldolgozású szkriptek kódjának megtekintését (például lehetőség van egy speciálisan formázott PHP-szkript kérés létrehozására, amely megjeleníti annak tartalmát, nem pedig a végrehajtását).
Az Apache httpd 2.4.60-as verzióban 8 sebezhetőséget javítottak, ezek közül 5-öt fontosnak jelöltek, továbbá 13 változás is történt. Az azonosított sebezhetőségek:
- CVE-2024-38473 — a mod_proxy egy problémája, amely lehetővé teszi az autentikáció megkerülését a hátsó szolgáltatásokhoz nem megfelelő URL-kódolás használatával.
- CVE-2024-38476 — ha a hátsó szolgáltatásként sebezhető alkalmazás található, helyi szkriptek végrehajtása vagy információmigrálás valósítható meg.
- CVE-2024-38474, CVE-2024-38475 — a mod_rewrite kimenetének helytelen escaping-je lehetővé teszi a támadónak, hogy a HTTP-szerver által feldolgozott, de linkben nem elérhető helyi fájlrendszerre mutató URL-t tükrözzön.
- CVE-2024-38472 — SSRF támadás végrehajtásának lehetősége szerverek Windows platformon.
- CVE-2024-39573 — a mod_rewrite-on végrehajtott SSRF (Server-side request forgery) támadás lehetősége, amely lehetővé tette az URL mod_proxy-on keresztüli feldolgozását a beállításokban jelen lévő nem biztonságos szabályok (RewriteRule) segítségével.
- CVE-2024-36387 — szolgáltatás-megtagadás a WebSocket protokoll Http/2 feletti null pointer dereferálás miatt.
- CVE-2024-38477 — szolgáltatás-megtagadás egy speciálisan megformázott kérés mod_proxy-n keresztüli feldolgozása során, amelyet null pointer dereferálás okozott.
A biztonsággal nem kapcsolatos változások között:
- A Listen és VirtualHost direktívákhoz hozzáadva lett a helyi IPv6 címek zónájának és hatókörének megadásának támogatása.
- Frissítve lett a mime.types fájl tartalma.
- A mod_cgid modulban opcionális támogatás került bevezetésre fájlleírók továbbításához.
- A mod_tls modulban 0.13.0-ás verzióig frissült a rustls-ffi csomag.
- A mod_md modulban, amely az ACME (Automatic Certificate Management Environment) protokoll segítségével a tanúsítványok automatikus megszerzésére és fenntartására szolgál, megjelent az MDCheckInterval direktíva a tanúsítvány visszavonási ellenőrzési intervallumának meghatározásához.
Forrás: opennet.ru
