Rilis server http Apache 2.4.49 dengan kerentanan diperbaiki

Rilis server HTTP Apache 2.4.49 telah diterbitkan, yang memperkenalkan 27 perubahan dan memperbaiki 5 kerentanan:

• CVE-2021-33193 - mod_http2 rentan terhadap varian baru serangan "Penyelundupan Permintaan HTTP", yang memungkinkan, dengan mengirimkan permintaan klien yang dirancang khusus, untuk memasukkan dirinya ke dalam konten permintaan dari pengguna lain yang dikirimkan melalui mod_proxy (misalnya, Anda dapat memasukkan kode JavaScript berbahaya ke dalam sesi pengguna situs lain) .
• CVE-2021-40438 adalah kerentanan SSRF (Server Side Request Forgery) di mod_proxy, yang memungkinkan permintaan dialihkan ke server yang dipilih oleh penyerang dengan mengirimkan permintaan jalur uri yang dibuat khusus.
• CVE-2021-39275 - Buffer overflow di fungsi ap_escape_quotes. Kerentanan ditandai sebagai tidak berbahaya karena semua modul standar tidak meneruskan data eksternal ke fungsi ini. Namun secara teoritis mungkin ada modul pihak ketiga yang dapat digunakan untuk melakukan serangan.
• CVE-2021-36160 - Pembacaan di luar batas pada modul mod_proxy_uwsgi menyebabkan error.
• CVE-2021-34798 - Dereferensi penunjuk NULL menyebabkan proses terhenti saat memproses permintaan yang dibuat khusus.

Perubahan non-keamanan yang paling menonjol adalah:

• Cukup banyak perubahan internal pada mod_ssl. Pengaturan “ssl_engine_set”, “ssl_engine_disable” dan “ssl_proxy_enable” telah dipindahkan dari mod_ssl ke pengisian utama (inti). Dimungkinkan untuk menggunakan modul SSL alternatif untuk melindungi koneksi melalui mod_proxy. Menambahkan kemampuan untuk mencatat kunci pribadi, yang dapat digunakan di Wireshark untuk menganalisis lalu lintas terenkripsi.
• Di mod_proxy, penguraian jalur soket unix yang diteruskan ke URL “proxy:” telah dipercepat.
• Kemampuan modul mod_md, yang digunakan untuk mengotomatisasi penerimaan dan pemeliharaan sertifikat menggunakan protokol ACME (Automatic Certificate Management Environment), telah diperluas. Diperbolehkan mengapit domain dengan tanda kutip dan memberikan dukungan untuk tls-alpn-01 untuk nama domain yang tidak terkait dengan host virtual.
• Menambahkan parameter StrictHostCheck, yang melarang penentuan nama host yang belum dikonfigurasi di antara argumen daftar “izinkan”.

Sumber: opennet.ru