Apache 2.4.61 HTTP सर्भर रिलिज कमजोरीहरू तय गरियो

Apache HTTP सर्भर 2.4.61 उपलब्ध छ, जुन लगभग 2.4.60 को रिलीज पछि तुरुन्तै प्रकाशित भएको थियो र यसले जोखिम (CVE-2024-39884) को कारणले गर्दा रिग्रेसन परिवर्तनको लागि एक समाधान समावेश गर्दछ, जसले तपाईंलाई स्क्रिप्टको कोड हेर्न अनुमति दिन्छ। जो AddType निर्देशन प्रयोग गरेर प्रशोधन गर्न कन्फिगर गरिएको छ (उदाहरणका लागि, तपाईंले PHP स्क्रिप्टमा विशेष रूपमा डिजाइन गरिएको अनुरोध सिर्जना गर्न सक्नुहुन्छ, जसले यसलाई कार्यान्वयन गर्नुको सट्टा यसको सामग्रीहरू प्रदर्शन गर्न नेतृत्व गर्नेछ)।

Apache httpd 2.4.60 ले 8 कमजोरीहरू फिक्स गर्दछ, जसमध्ये 5 लाई महत्त्वपूर्ण रूपमा चिन्ह लगाइएको छ, र 13 परिवर्तनहरू प्रस्तुत गर्दछ। पहिचान गरिएका कमजोरीहरू:

• CVE-2024-38473 mod_proxy मा एउटा समस्या हो जसले गलत URL एन्कोडिङको प्रयोग गरेर ब्याकइन्डमा सेवाहरूको लागि प्रमाणीकरण बाइपास गर्न अनुमति दिन्छ।
• CVE-2024-38476 - यदि ब्याकइन्डको रूपमा प्रयोग गरिएको कमजोर अनुप्रयोग छ भने, स्थानीय लिपि कार्यान्वयन वा जानकारी चुहावट हुन सक्छ।
• CVE-2024-38474, CVE-2024-38475 - गलत mod_rewrite आउटपुट एस्केपिङले आक्रमणकर्तालाई स्थानीय फाइल प्रणालीमा URL प्रतिबिम्बित गर्न अनुमति दिन्छ जुन HTTP सर्भरद्वारा प्रशोधन गरिएको छ, तर लिङ्क मार्फत पहुँचयोग्य छैन।
• CVE-2024-38472 - विरुद्ध SSRF आक्रमण गर्ने सम्भावना सर्भरहरू प्लेटफर्ममा Windows.
• CVE-2024-39573 - mod_rewrite मा SSRF (सर्भर-साइड रिक्वेस्ट फोर्जरी) आक्रमण गर्ने सम्भावना, जसले सेटिङहरूमा अवस्थित असुरक्षित नियमहरू (RewriteRule) प्रयोग गरेर mod_proxy मा URL प्रशोधन गर्न अनुमति दिन्छ।
• CVE-2024-36387 HTTP/2 मा WebSocket प्रोटोकल प्रयोग गर्दा NULL सूचक dereference को कारण सेवा को अस्वीकार।
• CVE-2024-38477 NULL सूचक dereference को कारणले गर्दा, mod_proxy मा विशेष रूपमा तयार गरिएको अनुरोधलाई प्रशोधन गर्दा सेवाको अस्वीकार।

गैर-सुरक्षा परिवर्तनहरू मध्ये:

• सुन्नुहोस् र भर्चुअलहोस्ट निर्देशनहरूमा स्थानीय IPv6 ठेगानाहरूको क्षेत्र र दायरा निर्दिष्ट गर्न समर्थन थपियो।
• mime.types फाइलको सामग्री अद्यावधिक गरिएको छ।
• mod_cgid मा फाइल वर्णनकर्ताहरू पास गर्नको लागि वैकल्पिक समर्थन थपियो।
• mod_tls मोड्युलमा, rustls-ffi प्याकेज संस्करण 0.13.0 मा अद्यावधिक गरिएको छ।
• mod_md मोड्युल, ACME (स्वचालित प्रमाणपत्र व्यवस्थापन वातावरण) प्रोटोकल प्रयोग गरी प्रमाणपत्रहरूको प्राप्ति र मर्मतलाई स्वचालित गर्न प्रयोग गरिन्छ, अब प्रमाणपत्र रद्द गर्ने जाँच अन्तराल निर्धारण गर्न MDCheckInterval निर्देशन छ।

स्रोत: opennet.ru