De release van HTTP-server Apache 2.4.49 is gepubliceerd, met 27 wijzigingen en 5 kwetsbaarheden verholpen:
- CVE-2021-33193 — de kwetsbaarheid van mod_http2 voor een nieuwe variant van de aanval ‘HTTP Request Smuggling’, die het mogelijk maakt om via speciaal opgemaakte klantverzoeken zich te mengen in de inhoud van andere gebruikersverzoeken die via mod_proxy worden verzonden (bijvoorbeeld kan deze aanval resulteren in de invoeging van schadelijke JavaScript-code in de sessie van een andere gebruiker op de site).
- CVE-2021-40438 — SSRF-kwetsbaarheid (Server Side Request Forgery) in mod_proxy, die het mogelijk maakt om via het verzenden van een speciaal opgemaakt uri-pad verzoek om te leiden naar een door de aanvaller gekozen server.
- CVE-2021-39275 — buffer overflow in de functie ap_escape_quotes. Deze kwetsbaarheid is gemarkeerd als niet gevaarlijk, omdat alle standaardmodules geen externe gegevens aan deze functie doorgeven. Maar theoretisch kunnen er derdenmodules zijn waarvan gebruik kan worden gemaakt om een aanval uit te voeren.
- CVE-2021-36160 — lezen buiten de grenzen van de buffer in de mod_proxy_uwsgi module, wat leidt tot een crash.
- CVE-2021-34798 — derefereren van een null pointer, wat leidt tot een crash van het proces bij het verwerken van speciaal opgemaakte verzoeken.
De meest opvallende wijzigingen die niet met beveiliging te maken hebben:
- Er zijn veel interne wijzigingen in mod_ssl. Instellingen ‘ssl_engine_set’, ‘ssl_engine_disable’ en ‘ssl_proxy_enable’ zijn van mod_ssl naar de kern (core) verplaatst. Er is de mogelijkheid toegevoegd om alternatieve SSL-modules voor de beveiliging van verbindingen via mod_proxy te gebruiken. Er is een logboek van gesloten sleutels toegevoegd, dat kan worden gebruikt in wireshark voor de analyse van versleuteld verkeer.
- In mod_proxy is de parsing van paden met unix socket, die in de URL ‘proxy:’ worden doorgegeven, versneld.
- De mogelijkheden van de mod_md module, die wordt gebruikt voor de automatisering van het verkrijgen en beheren van certificaten met behulp van het ACME (Automatic Certificate Management Environment) protocol, zijn uitgebreid. Het is toegestaan om domeinen in <MDomain …> tussen aanhalingstekens te plaatsen en ondersteuning voor tls-alpn-01 is toegevoegd voor domeinnamen, niet gekoppeld aan virtuele hosts.
- Een parameter StrictHostCheck is toegevoegd, die het verbiedt om niet-geconfigureerde hostnamen op te nemen in de argumentenlijst van ‘allow’.
Bron: opennet.ru
