ProHoster > Blogs > Interneta ziņas > Apache 2.4.61 HTTP servera izlaiÅ”ana ar droŔības ievainojamÄ«bu labojumiem

Apache 2.4.61 HTTP servera izlaiŔana ar droŔības ievainojamību labojumiem

Ir pieejams Apache HTTP servera 2.4.61 izlaidums, kas publicēts gandrÄ«z nekavējoties pēc 2.4.60 izlaiduma un ietver regresijas kļūdas labojumu, kas radÄ«ja ievainojamÄ«bu (CVE-2024-39884), ļaujot apskatÄ«t skriptu kodu, kuru apstrāde ir iestatÄ«ta ar AddType direktÄ«vu (piemēram, var izveidot Ä«paÅ”i formatētu pieprasÄ«jumu PHP skriptam, kas radÄ«s tā satura parādÄ«Å”anu, nevis izpildi).

Apache httpd 2.4.60 versijā ir novērstas 8 ievainojamības, no kurām 5 ir atzītas par nopietnām, kā arī ir ieviesti 13 uzlabojumi. Atklātās ievainojamības:

  • CVE-2024-38473 ā€” problēma mod_proxy, kas ļauj apiet autentifikāciju pakalpojumiem aizmugurē, izmantojot nepareizu kodējumu URL.
  • CVE-2024-38476 ā€” ar ievainojamu aizmugures lietojumprogrammu var panākt lokālo skriptu izpildi vai informācijas noplÅ«di.
  • CVE-2024-38474, CVE-2024-38475 ā€” nepareiza izvades ekrāna apstrāde mod_rewrite, ļauj uzbrucējam atspoguļot URL uz katalogu lokālajā failu sistēmā, kuru apstrādā HTTP serveris, bet nav pieejams caur saiti.
  • CVE-2024-38472 ā€” iespēja veikt SSRF uzbrukumu pret serveriem Windows platformu.
  • CVE-2024-39573 ā€” iespēja veikt SSRF (Server-side request forgery) uzbrukumu uz mod_rewrite, kas ļauj apstrādāt URL mod_proxy, izmantojot droŔības riska dēļ iestatÄ«tās nenodroÅ”inātās noteikumu (RewriteRule).
  • CVE-2024-36387 ā€” pakalpojuma atteikÅ”ana nulles rādÄ«tāja dereferencÄ“Å”anas dēļ, izmantojot WebSocket protokolu virs HTTP/2.
  • CVE-2024-38477 ā€” pakalpojuma atteikÅ”ana, apstrādājot Ä«paÅ”i formatētu pieprasÄ«jumu mod_proxy, ko izraisa nulles rādÄ«tāja dereferencÄ“Å”ana.

Neattiecas uz droŔību izmaiņas:

  • Listen un VirtualHost direktÄ«vās ir pievienota atbalsta funkcija lokālo IPv6 adresu zonas un darbÄ«bas jomu norādÄ«Å”anai.
  • Atjaunināts faila mime.types saturs.
  • mod_cgid ir pievienots opcijas atbalsts failu descriptoru pārsÅ«tÄ«Å”anai.
  • mod_tls modulÄ« lÄ«dz versijai 0.13.0 ir atjaunots rustls-ffi pakotne.
  • mod_md modulÄ«, ko izmanto, lai automatizētu sertifikātu iegÅ«Å”anu un apkopi, izmantojot ACME (Automatic Certificate Management Environment) protokolu, ir parādÄ«jies MDCheckInterval direktÄ«va, lai noteiktu sertifikāta atcelÅ”anas pārbaudes intervālu.

Avots: opennet.lv

Iegādājieties uzticamu tÄ«mekļa hostingu ar DDoS aizsardzÄ«bu, VPS VDS serveriem šŸ”„ Iegādājieties uzticamu tÄ«mekļa hostingu ar DDoS aizsardzÄ«bu, VPS VDS serveriem | ProHoster