Utgivelsen av HTTP-serveren Apache 2.4.49 med sikkerhetsfeilrettinger

Utgivelsen av HTTP-serveren Apache 2.4.49 er offentliggjort, med 27 endringer og 5 sikkerhetsfeil rettet:

• CVE-2021-33193 — sårbarhet i mod_http2 for en ny variant av 'HTTP Request Smuggling' angrep, som tillater spesiallagde klientforespørsel å bli innlemmet i innholdet av forespørslene til andre brukere, sendt gjennom mod_proxy (for eksempel kan en angriper injisere skadelig JavaScript-kode inn i en annen brukers økt).
• CVE-2021-40438 — SSRF-sårbarhet (Server Side Request Forgery) i mod_proxy, som gjør det mulig for angripere å omdirigere forespørselen til en server valgt av angriperen ved å sende en spesiallaget forespørsel med uri-path.
• CVE-2021-39275 — bufferoverløp i funksjonen ap_escape_quotes. Sårbarheten er merket som ikke-farlig, siden alle standardmoduler ikke sender eksterne data til denne funksjonen. Men teoretisk kan det eksistere tredjepartsmoduler som tillater en slik angrep.
• CVE-2021-36160 — lesing fra utenfor buffergrensene i mod_proxy_uwsgi, noe som fører til krasj.
• CVE-2021-34798 — dereferering av en nullpeker, noe som fører til krasj av prosessen under behandling av spesiallagde forespørsel.

De mest bemerkelsesverdige endringene som ikke er relatert til sikkerhet:

• Det er mange interne endringer i mod_ssl. Innstillingene 'ssl_engine_set', 'ssl_engine_disable' og 'ssl_proxy_enable' er flyttet fra mod_ssl til kjernen. Muligheten for å bruke alternative SSL-moduler for å sikre forbindelser gjennom mod_proxy er lagt til. Det er også lagt til muligheten for å føre logg over lukkede nøkler, som kan brukes i wireshark for å analysere kryptert trafikk.
• I mod_proxy er analysen av stier med unix socket, som sendes i URL 'proxy:', blitt akselerert.
• Mulighetene i mod_md-modulen, brukt for automatisering av sertifikatinnhenting og -vedlikehold med ACME-protokollen (Automatic Certificate Management Environment), er utvidet. Det er nå mulig å omslutte domener i med anførselstegn og støtte for tls-alpn-01 er gitt for domener, ikke bundet til virtuelle verter.
• En parameter StrictHostCheck er lagt til, som forhindrer angivelse av ikke-konfigurerte vertsnavn i listen over 'allow' argumenter.

Kilde: opennet.ru