Pelayan HTTP Apache 2.4.49 telah dikeluarkan, memperkenalkan 27 perubahan dan menghapuskan 5 kelemahan:
- CVE-2021-33193 - mod_http2 terdedah kepada varian baharu serangan "Penyeludupan Permintaan HTTP", yang membenarkan, dengan menghantar permintaan pelanggan yang direka khas, untuk menjerumuskan dirinya ke dalam kandungan permintaan daripada pengguna lain yang dihantar melalui mod_proxy (contohnya, anda boleh mencapai pemasukan kod JavaScript berniat jahat ke dalam sesi pengguna lain tapak) .
- CVE-2021-40438 ialah kerentanan SSRF (Pemalsuan Permintaan Sisi Pelayan) dalam mod_proxy, yang membolehkan permintaan itu diubah hala ke pelayan yang dipilih oleh penyerang dengan menghantar permintaan laluan uri yang dibuat khas.
- CVE-2021-39275 - Limpahan penimbal dalam fungsi ap_escape_quotes. Kerentanan ditandakan sebagai jinak kerana semua modul standard tidak menghantar data luaran kepada fungsi ini. Tetapi secara teorinya mungkin terdapat modul pihak ketiga di mana serangan boleh dilakukan.
- CVE-2021-36160 - Bacaan di luar sempadan dalam modul mod_proxy_uwsgi menyebabkan ranap sistem.
- CVE-2021-34798 - Penyahrujukan penunjuk NULL menyebabkan ranap proses semasa memproses permintaan yang dibuat khas.
Perubahan bukan keselamatan yang paling ketara ialah:
- Banyak perubahan dalaman dalam mod_ssl. Tetapan "ssl_engine_set", "ssl_engine_disable" dan "ssl_proxy_enable" telah dialihkan dari mod_ssl ke pengisian utama (teras). Anda boleh menggunakan modul SSL alternatif untuk melindungi sambungan melalui mod_proxy. Menambahkan keupayaan untuk log kunci peribadi, yang boleh digunakan dalam wireshark untuk menganalisis trafik yang disulitkan.
- Dalam mod_proxy, penghuraian laluan soket unix yang dihantar ke URL "proksi:" telah dipercepatkan.
- Keupayaan modul mod_md, yang digunakan untuk mengautomasikan penerimaan dan penyelenggaraan sijil menggunakan protokol ACME (Persekitaran Pengurusan Sijil Automatik), telah diperluaskan. Ia dibenarkan untuk mengelilingi domain dengan petikan masuk dan menyediakan sokongan untuk tls-alpn-01 untuk nama domain yang tidak dikaitkan dengan hos maya.
- Menambahkan parameter StrictHostCheck, yang melarang menentukan nama hos yang tidak dikonfigurasikan antara argumen senarai "benarkan".
Sumber: opennet.ru