De release van de HTTP-server Apache 2.4.61 is beschikbaar, die vrijwel direct na de uitgave van 2.4.60 is gepubliceerd en een oplossing bevat voor een regressief probleem dat een kwetsbaarheid veroorzaakte (CVE-2024-39884), waardoor de code van scripts kon worden ingezien die zijn ingesteld met de AddType-directive (bijvoorbeeld, het is mogelijk om een specifiek opgemaakte aanvraag te vormen aan een PHP-script dat leidt tot het tonen van de inhoud in plaats van uitvoering).
In versie Apache httpd 2.4.60 zijn 8 kwetsbaarheden verholpen, waarvan 5 als kritiek zijn gemarkeerd, en zijn er 13 wijzigingen geïntroduceerd. De ontdekte kwetsbaarheden:
- CVE-2024-38473 — een probleem in mod_proxy, waardoor een onjuiste codering in de URL kan worden gebruikt om authenticatie voor backendservices te omzeilen.
- CVE-2024-38476 — als er een kwetsbare applicatie als backend wordt gebruikt, kan dit leiden tot de uitvoering van lokale scripts of datalekken.
- CVE-2024-38474, CVE-2024-38475 — onjuiste escaping van uitvoer in mod_rewrite, waardoor een aanvaller een URL kan weergeven naar een map in het lokale bestandssysteem die door de HTTP-server wordt verwerkt, maar niet toegankelijk is via een link.
- CVE-2024-38472 — mogelijkheid om een SSRF-aanval uit te voeren tegen servers op het Windows-platform.
- CVE-2024-39573 — mogelijkheid om een SSRF (Server-side request forgery) aanval op mod_rewrite uit te voeren, waardoor URL's in mod_proxy kunnen worden verwerkt met behulp van onveilige regels (RewriteRule) in de instellingen.
- CVE-2024-36387 — denial of service door derefereren van een null pointer bij het gebruik van het WebSocket-protocol bovenop HTTP/2.
- CVE-2024-38477 — denial of service bij het verwerken van een speciaal opgemaakte aanvraag in mod_proxy, veroorzaakt door derefereren van een null pointer.
Onder de niet-beveiligingsgerelateerde wijzigingen:
- In de directives Listen en VirtualHost is ondersteuning toegevoegd voor het opgeven van de zone en het bereik van lokale IPv6-adressen.
- De inhoud van het bestand mime.types is bijgewerkt.
- In mod_cgid is optionele ondersteuning toegevoegd voor het doorgeven van bestandsdescriptoren.
- In de mod_tls module is het rustls-ffi pakket tot versie 0.13.0 bijgewerkt.
- In de mod_md module, die wordt gebruikt voor het automatiseren van het verkrijgen en onderhouden van certificaten met behulp van het ACME (Automatic Certificate Management Environment) protocol, is de directive MDCheckInterval toegevoegd voor het bepalen van het controle-interval voor certificaatintrekking.
Bron: opennet.ru
