Está disponível a versão do servidor HTTP Apache 2.4.61, lançada quase imediatamente após a 2.4.60, que inclui a correção de uma mudança regressiva que causou uma vulnerabilidade (CVE-2024-39884), permitindo a visualização do código de scripts configurados através da diretiva AddType (por exemplo, é possível formar uma solicitação especialmente formatada a um script PHP, que resultará na exibição do seu conteúdo em vez de sua execução).
Na versão Apache httpd 2.4.60, foram corrigidas 8 vulnerabilidades, das quais 5 foram marcadas como críticas, além de 13 mudanças apresentadas. As vulnerabilidades identificadas são:
- CVE-2024-38473 — problema no mod_proxy que permite a contorno da autenticação de serviços no backend através do uso de codificação incorreta na URL.
- CVE-2024-38476 — na presença de um aplicativo vulnerável usado como backend, é possível alcançar a execução de scripts locais ou vazamento de informações.
- CVE-2024-38474, CVE-2024-38475 — escape inadequado da saída do mod_rewrite, permitindo que um atacante reflita a URL em um diretório no sistema de arquivos local que é processado pelo servidor HTTP, mas não está acessível via link.
- CVE-2024-38472 — possibilidade de realizar um ataque SSRF contra servidores na plataforma Windows.
- CVE-2024-39573 — possibilidade de realizar um ataque SSRF (Server-side request forgery) no mod_rewrite, possibilitando o processamento de URLs no mod_proxy usando regras inseguras presentes nas configurações (RewriteRule).
- CVE-2024-36387 — negação de serviço devido a desreferenciamento de ponteiro nulo ao usar o protocolo WebSocket sobre HTTP/2.
- CVE-2024-38477 — negação de serviço ao processar uma solicitação especialmente formatada no mod_proxy, causada pelo desreferenciamento de ponteiro nulo.
Entre as mudanças não relacionadas à segurança:
- Foi adicionada a suporte para especificar a zona e o escopo de endereços IPv6 nas diretivas Listen e VirtualHost.
- O conteúdo do arquivo mime.types foi atualizado.
- Foi adicionada no mod_cgid suporte opcional para transmissão de descritores de arquivos.
- No módulo mod_tls, o pacote rustls-ffi foi atualizado para a versão 0.13.0.
- No módulo mod_md, utilizado para automatizar a obtenção e manutenção de certificados usando o protocolo ACME (Ambiente de Gerenciamento Automático de Certificados), uma nova diretiva MDCheckInterval foi introduzida para definir o intervalo de verificação de revogação do certificado.
Fonte: opennet.ru
