È stato pubblicato il rilascio del server HTTP Apache 2.4.49, che presenta 27 modifiche e risolve 5 vulnerabilità:
- CVE-2021-33193 — vulnerabilità di mod_http2 a un nuovo tipo di attacco 'HTTP Request Smuggling', che consente, attraverso l'invio di richieste client appositamente formattate, di infiltrarsi nel contenuto delle richieste di altri utenti inoltrate tramite mod_proxy (per esempio, permette di iniettare codice JavaScript malevolo nella sessione di un altro utente del sito).
- CVE-2021-40438 — vulnerabilità SSRF (Server Side Request Forgery) in mod_proxy, che consente, attraverso l'invio di una richiesta chiamata 'uri-path' appositamente formattata, di indirizzare la richiesta a un server scelto dall'attaccante.
- CVE-2021-39275 — overflow del buffer nella funzione ap_escape_quotes. La vulnerabilità è classificata come non pericolosa, poiché tutti i moduli standard non passano dati esterni a questa funzione. Tuttavia, è teoricamente possibile che esistano moduli di terze parti che possano consentire un attacco.
- CVE-2021-36160 — letture al di fuori dei confini del buffer nel modulo mod_proxy_uwsgi, che portano a un crash.
- CVE-2021-34798 — dereferenziazione di puntatori nulli che porta al crash del processo durante l'elaborazione di richieste formattate in modo speciale.
Le modifiche più significative non correlate alla sicurezza:
- Sono stati apportati numerosi cambiamenti interni in mod_ssl. Le impostazioni «ssl_engine_set», «ssl_engine_disable» e «ssl_proxy_enable» sono state spostate da mod_ssl al core principale. È stata fornita la possibilità di applicare moduli alternativi per proteggere le connessioni tramite mod_proxy. È stata aggiunta la possibilità di registrare le chiavi chiuse, utilizzabili in wireshark per analizzare il traffico crittografato. SSL-moduli per proteggere le connessioni tramite mod_proxy. È stata aggiunta la possibilità di registrare le chiavi chiuse, utilizzabili in wireshark per l'analisi del traffico crittografato.
- In mod_proxy, è stata accelerata l'analisi dei percorsi con socket unix trasmessi nell'URL «proxy:».
- Sono state ampliate le funzionalità del modulo mod_md, utilizzato per automatizzare l'ottenimento e la gestione dei certificati tramite il protocollo ACME (Automatic Certificate Management Environment). È stata consentita la delimitazione tra virgolette dei domini in e fornita supporto per tls-alpn-01 per di nomi di dominio, non collegati agli host virtuali.
- È stato aggiunto il parametro StrictHostCheck, che vieta l'indicazione di nomi host non configurati nell'elenco degli argomenti «allow».
Fonte: opennet.ru
