Apache 2.4.49 HTTP servera izlaišana ar aizsardzību pret ievainojamībām

Ir publicēta Apache HTTP servera 2.4.49 versija, kurā ir 27 izmaiņas un novērstas 5 ievainojamības:

• CVE-2021-33193 — mod_http2 ir pakļauts jauna veida "HTTP Request Smuggling" uzbrukumam, ļaujot, nosūtot īpaši veidotus klienta pieprasījumus, iejaukties citu lietotāju pieprasījumu saturā, kas nosūtīti caur mod_proxy (piemēram, var panākt ļaunprātīga JavaScript koda ievietošanu cita lietotāja sesijā).
• CVE-2021-40438 — SSRF ievainojamība (Server Side Request Forgery) mod_proxy, ļaujot, nosūtot īpaši veidotu pieprasījumu uri-path, panākt pieprasījuma pāradresēšanu uz uzbrucēja izvēlēto serveri.
• CVE-2021-39275 — buferu pārspriegums ap_escape_quotes funkcijā. Ievainojamība ir atzīta par zemu risku, jo visi standarta moduļi nesniedz ārējus datus šai funkcijai. Taču teorētiski var pastāvēt trešo pušu moduļi, caur kuriem varētu veikt uzbrukumu.
• CVE-2021-36160 — tiek veikti lasījumi ārpus bufera robežām mod_proxy_uwsgi modulī, kas noved pie avārijas.
• CVE-2021-34798 — nulles rādītāja atzīšana, kas noved pie procesa avārijas, apstrādājot īpaši veidotus pieprasījumus.

Visredzamākās izmaiņas, kas nav saistītas ar drošību:

• Ir veikts diezgan daudz iekšēju izmaiņu mod_ssl. No mod_ssl uz galveno kodolu (core) ir pārvietoti parametri "ssl_engine_set", "ssl_engine_disable" un "ssl_proxy_enable". Ir iespēja izmantot alternatīvus SSL-moduļus savienojumu aizsardzībai caur mod_proxy. Pievienota iespēja veikt slēgtu atslēgu žurnālu, ko var izmantot Wireshark, lai analizētu šifrēto trafiku.
• mod_proxy ir paātrināta ceļu analīze ar Unix socket, kas tiek pārsūtīti URL "proxy:".
• Ir paplašinātas mod_md moduļa iespējas, ko izmanto automātiskai sertifikātu iegūšanai un apkalpošanai, izmantojot ACME (Automatic Certificate Management Environment) protokolu. Ir atļauta domēnu iepakošana pēdiņās <MDomain …> un nodrošināta tls-alpn-01 atbalsts domēna nosaukumu, kas nav saistīti ar virtuālajiem hostiem.
• Pievienots parametra StrictHostCheck, kas aizliedz neiestatītu hostu nosaukumu norādīšanu "allow" argumentu sarakstā.

Avots: opennet.lv