Foi lançado o Apache HTTP Server 2.4.49, que apresenta 27 alterações e corrige 5 vulnerabilidades:
- CVE-2021-33193 — vulnerabilidade do mod_http2 a uma nova variante do ataque "HTTP Request Smuggling", permitindo que, ao enviar requisições de clientes especialmente formatadas, o conteúdo das requisições de outros usuários seja infiltrado, através do mod_proxy (por exemplo, é possível injetar código JavaScript malicioso na sessão de outro usuário do site).
- CVE-2021-40438 — vulnerabilidade SSRF (Server Side Request Forgery) no mod_proxy, permitindo que, ao enviar uma requisição uri-path especialmente formatada, o atacante redirecione a requisição para um servidor de sua escolha.
- CVE-2021-39275 — estouro de buffer na função ap_escape_quotes. A vulnerabilidade é considerada não crítica, pois todos os módulos padrão não transmitem dados externos para essa função. Mas, teoricamente, podem existir módulos de terceiros que permitam atacar.
- CVE-2021-36160 — leituras fora dos limites de buffer no módulo mod_proxy_uwsgi, levando a um crash.
- CVE-2021-34798 — desreferenciamento de ponteiro nulo, causando a queda do processo ao processar requisições especialmente formatadas.
As modificações mais notáveis, não relacionadas à segurança:
- Muitas alterações internas foram feitas no mod_ssl. As configurações "ssl_engine_set", "ssl_engine_disable" e "ssl_proxy_enable" foram transferidas do mod_ssl para o núcleo principal. Agora é possível aplicar módulos alternativos para proteger conexões através do mod_proxy. Também foi adicionada a opção de manter um log de chaves privadas que pode ser usado no wireshark para analisar tráfego criptografado. SSLNo mod_proxy, a análise de caminhos com sockets Unix, passados no URL "proxy:", foi acelerada.
- As capacidades do módulo mod_md, usado para automatizar a obtenção e manutenção de certificados usando o protocolo ACME (Automatic Certificate Management Environment), foram expandidas. Agora é permitido o uso de aspas em domínios em <MDomain …> e foi adicionada a suporte ao tls-alpn-01 para
- , não vinculados a hosts virtuais. domíniosFoi adicionado o parâmetro StrictHostCheck, que proíbe a especificação de nomes de hosts não configurados na lista de argumentos "allow".
- Vulnerabilidade no Travis CI que leva à exposição de chaves de repositórios públicos.
Fonte: opennet.ru
