Apache 2.4.49 HTTP सर्भर रिलिज कमजोरीहरू तय गरियो

Apache HTTP सर्भर 2.4.49 जारी गरिएको छ, 27 परिवर्तनहरू प्रस्तुत गर्दै र 5 कमजोरीहरू हटाउँदै:

• CVE-2021-33193 - mod_http2 "HTTP अनुरोध तस्करी" आक्रमणको नयाँ संस्करणको लागि अतिसंवेदनशील छ, जसले विशेष रूपमा डिजाइन गरिएको ग्राहक अनुरोधहरू पठाएर, mod_proxy मार्फत पठाइएका अन्य प्रयोगकर्ताहरूका अनुरोधहरूको सामग्रीमा आफूलाई जोड्न अनुमति दिन्छ (उदाहरणका लागि, तपाईले साइटको अर्को प्रयोगकर्ताको सत्रमा मालिसियस जाभास्क्रिप्ट कोड सम्मिलित गर्न सक्नुहुनेछ)।
• CVE-2021-40438 mod_proxy मा एक SSRF (सर्भर साइड रिक्वेस्ट फोर्जरी) कमजोरी हो, जसले अनुरोधलाई विशेष रूपमा क्राफ्ट गरिएको uri-path अनुरोध पठाएर आक्रमणकारीले छानेको सर्भरमा रिडिरेक्ट गर्न अनुमति दिन्छ।
• CVE-2021-39275 - ap_escape_quotes प्रकार्यमा बफर ओभरफ्लो। सबै मानक मोड्युलहरूले यस प्रकार्यमा बाह्य डेटा पास गर्दैनन् किनभने कमजोरीलाई सौम्य रूपमा चिन्ह लगाइएको छ। तर यो सैद्धान्तिक रूपमा सम्भव छ कि त्यहाँ तेस्रो-पक्ष मोड्युलहरू छन् जसको माध्यमबाट आक्रमण गर्न सकिन्छ।
• CVE-2021-36160 - mod_proxy_uwsgi मोड्युलमा क्र्यासको कारण बाहिरको सीमा पढ्छ।
• CVE-2021-34798 - विशेष रूपमा क्राफ्ट गरिएका अनुरोधहरू प्रशोधन गर्दा प्रक्रिया क्र्यास हुने एउटा NULL सूचक विच्छेदन।

सबैभन्दा उल्लेखनीय गैर-सुरक्षा परिवर्तनहरू हुन्:

• mod_ssl मा धेरै आन्तरिक परिवर्तनहरू। सेटिङहरू "ssl_engine_set", "ssl_engine_disable" र "ssl_proxy_enable" लाई mod_ssl बाट मुख्य फिलिंग (कोर) मा सारिएको छ। mod_proxy मार्फत जडानहरू सुरक्षित गर्न वैकल्पिक SSL मोड्युलहरू प्रयोग गर्न सम्भव छ। निजी कुञ्जीहरू लग गर्ने क्षमता थपियो, जुन एन्क्रिप्टेड ट्राफिकको विश्लेषण गर्न वायरशार्कमा प्रयोग गर्न सकिन्छ।
• mod_proxy मा, "proxy:" URL मा पास गरिएको युनिक्स सकेट पथहरूको पार्सिङलाई तीव्र पारिएको छ।
• ACME (स्वचालित प्रमाणपत्र व्यवस्थापन वातावरण) प्रोटोकल प्रयोग गरी प्रमाणपत्रहरूको रसिद र मर्मत स्वचालित गर्न प्रयोग गरिएको mod_md मोड्युलको क्षमताहरू विस्तार गरिएको छ। यसलाई डोमेनहरू वरिपरि उद्धरणहरू समावेश गर्न अनुमति दिइएको छ र भर्चुअल होस्टहरूसँग सम्बद्ध नभएका डोमेन नामहरूको लागि tls-alpn-01 को लागि समर्थन प्रदान गरियो।
• StrictHostCheck प्यारामिटर थपियो, जसले "अनुमति" सूची तर्कहरू बीच कन्फिगर नगरिएको होस्टनामहरू निर्दिष्ट गर्न निषेध गर्दछ।

स्रोत: opennet.ru