Հրապարակվել է Apache 2.4.49 HTTP սերվերի թողարկումը, որը ներկայացնում է 27 փոփոխություն և ֆիքսված 5 խոցելիություն.
- CVE-2021-33193 - mod_http2 զգայունություն HTTP Request Smuggling հարձակման նոր տարբերակի նկատմամբ, որը թույլ է տալիս, ուղարկելով հատուկ մշակված հաճախորդների հարցումներ, խրվել mod_proxy-ի միջոցով փոխանցված այլ օգտվողների հարցումների բովանդակության մեջ (օրինակ, կարող եք հասնել JavaScript-ի վնասակար կոդի փոխարինում կայքի մեկ այլ օգտագործողի նիստում):
- CVE-2021-40438 - SSRF (Server Side Request Forgery) խոցելիություն mod_proxy-ում, որը թույլ է տալիս, ուղարկելով հատուկ մշակված uri-path հարցում, վերահղել հարցումը հարձակվողի կողմից ընտրված սերվերին:
- CVE-2021-39275 - Բուֆերային արտահոսք ap_escape_quotes ֆունկցիայում: Խոցելիությունը նշվում է որպես ոչ վտանգավոր, քանի որ բոլոր ստանդարտ մոդուլները արտաքին տվյալներ չեն փոխանցում այս գործառույթին: Բայց տեսականորեն հնարավոր է, որ կան երրորդ կողմի մոդուլներ, որոնց միջոցով կարելի է հարձակում իրականացնել։
- CVE-2021-36160 - Սահմաններից դուրս կարդացվում է mod_proxy_uwsgi մոդուլում, ինչը հանգեցնում է վթարի:
- CVE-2021-34798 - Չեղարկվող ցուցիչի մատնանշում, որը գործընթացի խափանում է առաջացնում հատուկ մշակված հարցումները մշակելիս:
Ամենաուշագրավ ոչ անվտանգության փոփոխություններն են.
- Բավականին շատ ներքին փոփոխություններ mod_ssl-ում: «ssl_engine_set», «ssl_engine_disable» և «ssl_proxy_enable» կարգավորումները mod_ssl-ից տեղափոխվել են հիմնական լցոնում (միջուկ): Ապահովվել է այլընտրանքային SSL մոդուլներ օգտագործելու հնարավորություն՝ mod_proxy-ի միջոցով կապերն ապահովելու համար: Ավելացվեց մասնավոր բանալիներ մուտքագրելու հնարավորությունը, որը կարող է օգտագործվել wireshark-ում՝ գաղտնագրված երթևեկությունը վերլուծելու համար:
- Mod_proxy-ն արագացրել է «proxy:» URL-ներում անցած unix վարդակների ուղիների վերլուծությունը:
- Ընդլայնվել են mod_md մոդուլի հնարավորությունները, որն օգտագործվում է ACME (Automatic Certificate Management Environment) արձանագրության միջոցով վկայագրերի ստացումն ու սպասարկումն ավտոմատացնելու համար։ Թույլատրված է տիրույթների մեջբերումը և տրամադրեց աջակցություն tls-alpn-01-ի համար տիրույթի անունների համար, որոնք կապված չեն վիրտուալ հոսթների հետ:
- Ավելացրել է StrictHostCheck տարբերակը՝ անջատելու չկարգավորված հոսթների անունները որպես փաստարկներ «թույլատրել» ցանկում:
Source: opennet.ru