Navoaka ny mpizara Apache HTTP 2.4.49, nampiditra fanovana 27 ary nanafoana ny vulnerability 5:
- CVE-2021-33193 - mod_http2 dia iharan'ny karazany vaovao amin'ny fanafihana "HTTP Request Smuggling", izay mamela, amin'ny alàlan'ny fandefasana fangatahana mpanjifa novolavolaina manokana, hiditra amin'ny votoatin'ny fangatahana avy amin'ireo mpampiasa hafa nampitaina tamin'ny mod_proxy (ohatra, azonao atao ny mampiditra ny kaody JavaScript ratsy ao amin'ny fotoam-pivorian'ny mpampiasa iray hafa amin'ny tranokala) .
- Ny CVE-2021-40438 dia vulnerability SSRF (Server Side Request Forgery) ao amin'ny mod_proxy, izay mamela ny fangatahana ho alefa any amin'ny lohamilina nofidin'ny mpanafika amin'ny alàlan'ny fandefasana fangatahana uri-path namboarina manokana.
- CVE-2021-39275 - Mihoatra ny buffer amin'ny fiasa ap_escape_quotes. Ny vulnerability dia voamarika ho tsy misy dikany satria ny maodely mahazatra rehetra dia tsy mandefa angona ivelany amin'ity fiasa ity. Saingy azo atao amin'ny fomba teorika fa misy maody an'ny antoko fahatelo izay ahafahana manao fanafihana.
- CVE-2021-36160 - Mamaky ivelan'ny sisintany ao amin'ny maody mod_proxy_uwsgi miteraka fianjerana.
- CVE-2021-34798 - Ny fanondroan'ny NULL dia miteraka fianjerana amin'ny fikarakarana ny fangatahana noforonina manokana.
Ny fiovana tsy azo antoka indrindra:
- Betsaka ny fiovana anatiny ao amin'ny mod_ssl. Ny fanovana "ssl_engine_set", "ssl_engine_disable" ary "ssl_proxy_enable" dia nafindra avy amin'ny mod_ssl mankany amin'ny famenoana fototra (fototra). Azo atao ny mampiasa mody SSL hafa mba hiarovana ny fifandraisana amin'ny alalan'ny mod_proxy. Nampiana ny fahafahana miditra amin'ny fanalahidy manokana, izay azo ampiasaina amin'ny wireshark handinihana ny fifamoivoizana miafina.
- Ao amin'ny mod_proxy, nohafainganina ny fanaparitahana ny lalana socket unix niditra tao amin'ny URL "proxy:".
- Ny fahaiza-manaon'ny mod_md module, ampiasaina amin'ny automatique ny fandraisana sy ny fikojakojana ny mari-pankasitrahana amin'ny alàlan'ny protocol ACME (Automatic Certificate Management Environment) dia nitarina. Navela nanonona sehatra ao amin'ny ary nanome fanohanana ho an'ny tls-alpn-01 ho an'ny anaran-tsehatra tsy mifandray amin'ny mpampiantrano virtoaly.
- Nampiana ny mari-pamantarana StrictHostCheck, izay mandrara ny fanondroana anarana mpampiantrano tsy voarindra eo amin'ireo tohan-kevitra lisitra "allow".
Source: opennet.ru