Foi lançado o servidor HTTP Apache 2.4.62, que corrige duas vulnerabilidades e implementa 6 mudanças. A primeira vulnerabilidade (CVE-2024-40898) permite um ataque SSRF (Server-side request forgery) no mod_rewrite. O problema ocorre apenas na plataforma Windows e, ao enviar requisições especialmente formatadas, pode levar ao vazamento de hashes NTLM para um servidor controlado pelos atacantes.
A segunda vulnerabilidade (CVE-2024-40725) permite visualizar o código de scripts cujos processamentos são configurados por meio da diretiva AddType. Por exemplo, é possível enviar uma requisição especialmente formatada a um script PHP que resultará na exibição do seu conteúdo, em vez de sua execução. A correção bloqueia uma variante adicional de exploração da vulnerabilidade CVE-2024-39884, que foi corrigida na versão 2.4.61.
Entre as mudanças não relacionadas à segurança, destaca-se a adição no mod_ssl da capacidade de carregar certificados e chaves de repositórios que suportam o padrão pkcs11.
De acordo com o relatório de junho da Netcraft, cerca de 212 milhões de sites estão rodando sob o servidor HTTP Apache (228 milhões um ano atrás). A participação do Apache httpd é estimada em 19,28% de todos os sites, colocando-o em segundo lugar em popularidade nesta categoria (a participação do Nginx é de 21,35%, Cloudflare 11,05% e OpenResty (plataforma baseada em nginx e LuaJIT) 0,79%). Ao considerar apenas sites ativos, o Apache ocupa o primeiro lugar no ranking com uma participação de 19,13% (Nginx 18,09%, Cloudflare 14,80%, Google 10,01%). Entre os milhões de sites mais visitados do mundo, o Apache está em terceiro lugar, com uma participação de 19,69% (liderando o Cloudflare com 23,10% e o Nginx com 20,50%).
Fonte: opennet.ru
