È disponibile il rilascio del server HTTP Apache 2.4.62, che risolve due vulnerabilità e introduce 6 modifiche. La prima vulnerabilità (CVE-2024-40898) consente di effettuare un attacco SSRF (Server-side request forgery) su mod_rewrite. Il problema si manifesta solo sulla piattaforma Windows e, inviando richieste opportunamente formattate, può portare a perdite di hash NTLM su un server controllato dagli aggressori.
La seconda vulnerabilità (CVE-2024-40725) permette di visualizzare il codice degli script la cui elaborazione è configurata tramite la direttiva AddType. Ad esempio, è possibile generare una richiesta specificamente formattata a uno script PHP che mostrerà il suo contenuto anziché eseguirlo. La correzione blocca un'ulteriore modalità di sfruttamento della vulnerabilità CVE-2024-39884, risolta nella versione 2.4.61.
Tra le modifiche non relative alla sicurezza, spicca l'aggiunta in mod_ssl della possibilità di caricare certificati e chiavi da archivi che supportano lo standard pkcs11.
Secondo il rapporto di giugno dell'azienda Netcraft, circa 212 milioni di siti web sono gestiti dal server HTTP Apache (nel corso di un anno fa erano 228 milioni). La quota di Apache httpd è del 19,28% di tutti i siti, che corrisponde al secondo posto per popolarità in questa categoria (la quota di Nginx è del 21,35%, Cloudflare 11,05%, OpenResty (piattaforma basata su nginx e LuaJIT) 0,79%). Considerando solo i siti attivi, Apache occupa il primo posto nella classifica con una quota del 19,13% (quota di Nginx 18,09%, Cloudflare 14,80%, Google 10,01%). Tra il milione di siti più visitati al mondo, Apache si trova al terzo posto con una quota del 19,69% (i leader sono Cloudflare con il 23,10% e Nginx con il 20,50%).
Fonte: opennet.ru
