Apache 2.4.49 HTTP netþjónsútgáfa hefur verið gefin út, sem kynnir 27 breytingar og lagar 5 veikleika:
- CVE-2021-33193 - mod_http2 er viðkvæmt fyrir nýju afbrigði af "HTTP Request Smuggling" árásinni, sem gerir, með því að senda sérhannaðar beiðnir viðskiptavina, að fleygja sig inn í innihald beiðna frá öðrum notendum sem sendar eru í gegnum mod_proxy (td, þú getur náð að setja skaðlegan JavaScript kóða inn í setu annars notanda síðunnar).
- CVE-2021-40438 er SSRF (Server Side Request Forgery) varnarleysi í mod_proxy, sem gerir kleift að beina beiðninni á netþjón sem valinn er af árásarmanninum með því að senda sérútbúna uri-path beiðni.
- CVE-2021-39275 - Stuðlaflæði í ap_escape_quotes fallinu. Varnarleysið er merkt sem góðkynja vegna þess að allar staðlaðar einingar senda ekki ytri gögn til þessa aðgerð. En það er fræðilega mögulegt að það séu einingar frá þriðja aðila þar sem hægt er að framkvæma árás.
- CVE-2021-36160 - Out-of-bounds les í mod_proxy_uwsgi einingunni sem veldur hruni.
- CVE-2021-34798 - NULL benditilvísun sem veldur hrun í ferli þegar unnið er með sérsmíðaðar beiðnir.
Merkustu breytingarnar sem ekki tengjast öryggi eru:
- Nokkuð mikið af innri breytingum í mod_ssl. Stillingarnar „ssl_engine_set“, „ssl_engine_disable“ og „ssl_proxy_enable“ hafa verið færðar úr mod_ssl yfir í aðalfyllinguna (kjarna). Það er hægt að nota aðrar SSL einingar til að vernda tengingar í gegnum mod_proxy. Bætti við möguleikanum á að skrá einkalykla, sem hægt er að nota í wireshark til að greina dulkóðaða umferð.
- Í mod_proxy hefur flokkun á unix socket slóðum sem sendar eru inn á „proxy:“ vefslóðina verið flýtt.
- Möguleiki mod_md einingarinnar, sem notuð er til að gera sjálfvirkan móttöku og viðhald vottorða með því að nota ACME (Automatic Certificate Management Environment) samskiptareglur, hefur verið aukinn. Það er leyfilegt að umkringja lén með tilvitnunum í og veitti stuðning fyrir tls-alpn-01 fyrir lén sem ekki eru tengd sýndarhýsingum.
- Bætti við StrictHostCheck færibreytunni, sem bannar að tilgreina óstillt hýsingarheiti meðal „leyfa“ listans.
Heimild: opennet.ru