Apache 2.4.61 HTTP servera izlaišana ar drošības ievainojamību labojumiem

Ir pieejams Apache HTTP servera 2.4.61 izlaidums, kas publicēts gandrīz nekavējoties pēc 2.4.60 izlaiduma un ietver regresijas kļūdas labojumu, kas radīja ievainojamību (CVE-2024-39884), ļaujot apskatīt skriptu kodu, kuru apstrāde ir iestatīta ar AddType direktīvu (piemēram, var izveidot īpaši formatētu pieprasījumu PHP skriptam, kas radīs tā satura parādīšanu, nevis izpildi).

Apache httpd 2.4.60 versijā ir novērstas 8 ievainojamības, no kurām 5 ir atzītas par nopietnām, kā arī ir ieviesti 13 uzlabojumi. Atklātās ievainojamības:

• CVE-2024-38473 — problēma mod_proxy, kas ļauj apiet autentifikāciju pakalpojumiem aizmugurē, izmantojot nepareizu kodējumu URL.
• CVE-2024-38476 — ar ievainojamu aizmugures lietojumprogrammu var panākt lokālo skriptu izpildi vai informācijas noplūdi.
• CVE-2024-38474, CVE-2024-38475 — nepareiza izvades ekrāna apstrāde mod_rewrite, ļauj uzbrucējam atspoguļot URL uz katalogu lokālajā failu sistēmā, kuru apstrādā HTTP serveris, bet nav pieejams caur saiti.
• CVE-2024-38472 — iespēja veikt SSRF uzbrukumu pret serveriem Windows platformu.
• CVE-2024-39573 — iespēja veikt SSRF (Server-side request forgery) uzbrukumu uz mod_rewrite, kas ļauj apstrādāt URL mod_proxy, izmantojot drošības riska dēļ iestatītās nenodrošinātās noteikumu (RewriteRule).
• CVE-2024-36387 — pakalpojuma atteikšana nulles rādītāja dereferencēšanas dēļ, izmantojot WebSocket protokolu virs HTTP/2.
• CVE-2024-38477 — pakalpojuma atteikšana, apstrādājot īpaši formatētu pieprasījumu mod_proxy, ko izraisa nulles rādītāja dereferencēšana.

Neattiecas uz drošību izmaiņas:

• Listen un VirtualHost direktīvās ir pievienota atbalsta funkcija lokālo IPv6 adresu zonas un darbības jomu norādīšanai.
• Atjaunināts faila mime.types saturs.
• mod_cgid ir pievienots opcijas atbalsts failu descriptoru pārsūtīšanai.
• mod_tls modulī līdz versijai 0.13.0 ir atjaunots rustls-ffi pakotne.
• mod_md modulī, ko izmanto, lai automatizētu sertifikātu iegūšanu un apkopi, izmantojot ACME (Automatic Certificate Management Environment) protokolu, ir parādījies MDCheckInterval direktīva, lai noteiktu sertifikāta atcelšanas pārbaudes intervālu.

Avots: opennet.lv