Utgivelsen av http-serveren Apache 2.4.61 med feilrettinger

HTTP-serveren Apache 2.4.61 er tilgjengelig, publisert kort tid etter utgivelsen av 2.4.60, og inkluderer en fix for en regresjonsfeil som forårsaket en sårbarhet (CVE-2024-39884), som tillater visning av skriptkode håndtert med AddType-direktivet (for eksempel kan man lage en spesialbygd forespørsel til en PHP-skript som fører til visning av innholdet i stedet for utførelsen).

I versjonen Apache httpd 2.4.60 er 8 sårbarheter fikset, hvorav 5 er merket som kritiske, samt 13 endringer er presentert. Identifiserte sårbarheter:

• CVE-2024-38473 — en problemstilling i mod_proxy som tillater omgåelse av autentisering av backend-tjenester ved feilaktig koding i URL.
• CVE-2024-38476 — ved å ha en sårbar applikasjon som backend, kan man utføre lokale skript eller lekke informasjon.
• CVE-2024-38474, CVE-2024-38475 — feilaktig escaping av mod_rewrite-utgangen, tillater en angriper å speile URL til kataloger i den lokale filsystemet som behandles av HTTP-serveren, men ikke er tilgjengelige via lenke.
• CVE-2024-38472 — muligheten for å utføre en SSRF-angrep mot servere Windows-plattformen.
• CVE-2024-39573 — muligheten for å utføre en SSRF (Server-side request forgery) angrep mot mod_rewrite, som tillater behandling av URL i mod_proxy via usikre regler (RewriteRule) i konfigurasjonen.
• CVE-2024-36387 — tjenestenekt på grunn av dereferering av nullpekere ved bruk av WebSocket-protokollen over HTTP/2.
• CVE-2024-38477 — tjenestenekt ved behandling av spesiallagde forespørsel i mod_proxy, forårsaket av dereferering av nullpekere.

Blant endringene som ikke er relatert til sikkerhet:

• I direktivene Listen og VirtualHost er det lagt til støtte for spesifisering av soner og omfang for lokale IPv6-adresser.
• Innholdet i filen mime.types er oppdatert.
• I mod_cgid er det lagt til valgfri støtte for overføring av filbeskrivere.
• I modulen mod_tls er pakken rustls-ffi oppdatert til versjon 0.13.0.
• I modulen mod_md, som brukes til automatisk henting og vedlikehold av sertifikater ved bruk av ACME-protokollen (Automatic Certificate Management Environment), er det innført direktivet MDCheckInterval for å spesifisere intervallet for sertifikatoppslag.

Kilde: opennet.ru