Apache HTTP serveris 2.4.49 ir izlaists, ieviešot 27 izmaiņas un novēršot 5 ievainojamības:
- CVE-2021-33193 - mod_http2 ir jutīgs pret jaunu "HTTP pieprasījumu kontrabandas" uzbrukuma variantu, kas ļauj, nosūtot īpaši izstrādātus klientu pieprasījumus, iekļauties citu lietotāju pieprasījumu saturā, kas nosūtīti, izmantojot mod_proxy (piemēram, jūs varat panākt ļaunprātīga JavaScript koda ievietošanu cita vietnes lietotāja sesijā) .
- CVE-2021-40438 ir mod_proxy SSRF (Server Side Request Forgery) ievainojamība, kas ļauj pāradresēt pieprasījumu uz uzbrucēja izvēlētu serveri, nosūtot īpaši izstrādātu uri-path pieprasījumu.
- CVE-2021-39275 — bufera pārpilde funkcijā ap_escape_quotes. Ievainojamība ir atzīmēta kā labdabīga, jo visi standarta moduļi nenodod šai funkcijai ārējos datus. Bet teorētiski ir iespējams, ka ir trešo pušu moduļi, caur kuriem var veikt uzbrukumu.
- CVE-2021-36160 — mod_proxy_uwsgi moduļa nolasījumi ārpus robežām, kas izraisa avāriju.
- CVE-2021-34798 — NULL rādītāja atsauce, kas izraisa procesa avāriju, apstrādājot īpaši izstrādātus pieprasījumus.
Ievērojamākās ar drošību nesaistītās izmaiņas:
- Diezgan daudz iekšēju izmaiņu mod_ssl. Iestatījumi “ssl_engine_set”, “ssl_engine_disable” un “ssl_proxy_enable” ir pārvietoti no mod_ssl uz galveno aizpildījumu (kodols). Ir iespējams izmantot alternatīvus SSL moduļus, lai aizsargātu savienojumus, izmantojot mod_proxy. Pievienota iespēja reģistrēt privātās atslēgas, ko var izmantot Wireshark, lai analizētu šifrētu trafiku.
- Programmā mod_proxy ir paātrināta unix ligzdas ceļu parsēšana, kas nodota vietrādim “starpniekserveris:” URL.
- Ir paplašinātas mod_md moduļa iespējas, ko izmanto sertifikātu saņemšanas un uzturēšanas automatizēšanai, izmantojot ACME (Automatic Certificate Management Environment) protokolu. Domēnus ir atļauts ieskaut ar pēdiņām un nodrošināja atbalstu tls-alpn-01 domēna nosaukumiem, kas nav saistīti ar virtuālajiem saimniekiem.
- Pievienots parametrs StrictHostCheck, kas aizliedz norādīt nekonfigurētus saimniekdatoru nosaukumus starp “atļaut” saraksta argumentiem.
Avots: opennet.ru