Apache 2.4.49 HTTP सर्व्हर रिलीझ असुरक्षा निश्चित

Apache HTTP सर्व्हर 2.4.49 रिलीझ केले गेले आहे, 27 बदल सादर करत आहे आणि 5 भेद्यता दूर करत आहे:

• CVE-2021-33193 - mod_http2 "HTTP विनंती स्मगलिंग" हल्ल्याच्या नवीन प्रकारासाठी संवेदनाक्षम आहे, जे, विशेष डिझाइन केलेल्या क्लायंट विनंत्या पाठवून, mod_proxy द्वारे प्रसारित केलेल्या इतर वापरकर्त्यांकडून विनंत्यांमधील सामग्रीमध्ये स्वतःला जोडू देते (उदाहरणार्थ, आपण साइटच्या दुसर्या वापरकर्त्याच्या सत्रात दुर्भावनापूर्ण JavaScript कोड समाविष्ट करू शकता) .
• CVE-2021-40438 ही mod_proxy मधील एक SSRF (सर्व्हर साइड रिक्वेस्ट फोर्जरी) भेद्यता आहे, जी विनंतीला खास तयार केलेली uri-path विनंती पाठवून आक्रमणकर्त्याने निवडलेल्या सर्व्हरवर पुनर्निर्देशित करण्याची परवानगी देते.
• CVE-2021-39275 - ap_escape_quotes फंक्शनमध्ये बफर ओव्हरफ्लो. भेद्यता सौम्य म्हणून चिन्हांकित केली आहे कारण सर्व मानक मॉड्यूल या कार्यासाठी बाह्य डेटा पास करत नाहीत. परंतु हे सैद्धांतिकदृष्ट्या शक्य आहे की तेथे तृतीय-पक्ष मॉड्यूल आहेत ज्याद्वारे हल्ला केला जाऊ शकतो.
• CVE-2021-36160 - mod_proxy_uwsgi मॉड्युलमध्ये सीमेबाहेरचे वाचन क्रॅश होऊ शकते.
• CVE-2021-34798 - विशेष तयार केलेल्या विनंत्यांवर प्रक्रिया करताना एक NULL पॉइंटर डिरेफरन्समुळे प्रक्रिया क्रॅश होते.

सर्वात लक्षणीय गैर-सुरक्षा बदल:

• mod_ssl मध्ये बरेच अंतर्गत बदल. सेटिंग्ज “ssl_engine_set”, “ssl_engine_disable” आणि “ssl_proxy_enable” mod_ssl वरून मुख्य फिलिंग (कोर) वर हलवण्यात आल्या आहेत. mod_proxy द्वारे कनेक्शनचे संरक्षण करण्यासाठी पर्यायी SSL मॉड्यूल्स वापरणे शक्य आहे. खाजगी की लॉग करण्याची क्षमता जोडली, जी एनक्रिप्टेड रहदारीचे विश्लेषण करण्यासाठी वायरशार्कमध्ये वापरली जाऊ शकते.
• mod_proxy मध्ये, "प्रॉक्सी:" URL मध्ये पास केलेल्या युनिक्स सॉकेट पथांचे पार्सिंग वेगवान केले गेले आहे.
• ACME (ऑटोमॅटिक सर्टिफिकेट मॅनेजमेंट एन्व्हायर्नमेंट) प्रोटोकॉल वापरून प्रमाणपत्रांची पावती आणि देखभाल स्वयंचलित करण्यासाठी वापरल्या जाणार्‍या mod_md मॉड्यूलची क्षमता वाढवली गेली आहे. मध्ये अवतरणांसह डोमेन घेरण्याची परवानगी आहे आणि आभासी होस्टशी संबंधित नसलेल्या डोमेन नावांसाठी tls-alpn-01 साठी समर्थन प्रदान केले.
• StrictHostCheck पॅरामीटर जोडले, जे "परवानगी द्या" सूची वितर्कांमध्ये कॉन्फिगर न केलेली होस्टनावे निर्दिष्ट करण्यास प्रतिबंधित करते.

स्त्रोत: opennet.ru