Објавено е изданието на HTTP серверот Apache 2.4.49, кое претставува 27 промени и поправени 5 пропусти:
- CVE-2021-33193 - mod_http2 подложност на нова варијанта на нападот HTTP Request Smuggling, кој овозможува, со испраќање специјално дизајнирани барања на клиентите, да се вклопи во содржината на барањата на другите корисници пренесени преку mod_proxy (на пример, може да го постигнете замена на злонамерен JavaScript код во сесијата на друг корисник на страницата).
- CVE-2021-40438 - SSRF (Server Side Request Forgery) ранливост во mod_proxy, што овозможува, со испраќање на специјално дизајнирано барање за ури-патека, да се пренасочи барањето до серверот избран од напаѓачот.
- CVE-2021-39275 - Прелевање на баферот во функцијата ap_escape_quotes. Ранливоста е означена како неопасна, бидејќи сите стандардни модули не пренесуваат надворешни податоци на оваа функција. Но, теоретски е можно да постојат модули од трети страни преку кои може да се изврши напад.
- CVE-2021-36160 - Надвор од границите се чита во модулот mod_proxy_uwsgi, што резултира со пад.
- CVE-2021-34798 - Дереференцирање на нулта покажувач што предизвикува паѓање на процесот при справување со специјално изработени барања.
Најзабележителни небезбедни промени се:
- Доста внатрешни промени во mod_ssl. Поставките „ssl_engine_set“, „ssl_engine_disable“ и „ssl_proxy_enable“ се преместени од mod_ssl во главното полнење (јадро). Обезбедена е можност да се користат алтернативни SSL модули за да се обезбедат врски преку mod_proxy. Додадена е можност за евидентирање на приватни клучеви, кои може да се користат во wireshark за анализа на шифриран сообраќај.
- Mod_proxy го забрза парсирањето на патеките на уникс сокетите поминати во URL-адресите „прокси:“.
- Проширени се можностите на модулот mod_md, кој се користи за автоматизирање на приемот и одржувањето на сертификатите со помош на протоколот ACME (Automatic Certificate Management Environment). Дозволено цитирање на домени во и обезбеди поддршка за tls-alpn-01 за имиња на домени кои не се поврзани со виртуелни хостови.
- Додадена е опцијата StrictHostCheck за оневозможување на неконфигурирани имиња на домаќини како аргументи на списокот „дозволи“.
Извор: opennet.ru