O servidor Apache HTTP 2.4.49 foi lançado, introduzindo 27 alterações e eliminando 5 vulnerabilidades:
- CVE-2021-33193 - mod_http2 é suscetível a uma nova variante do ataque "HTTP Request Smuggling", que permite, ao enviar solicitações de clientes especialmente projetadas, inserir-se no conteúdo de solicitações de outros usuários transmitidas por meio de mod_proxy (por exemplo, você pode conseguir a inserção de código JavaScript malicioso na sessão de outro usuário do site).
- CVE-2021-40438 é uma vulnerabilidade SSRF (Server Side Request Forgery) no mod_proxy, que permite que a solicitação seja redirecionada para um servidor escolhido pelo invasor, enviando uma solicitação de uri-path especialmente criada.
- CVE-2021-39275 – Estouro de buffer na função ap_escape_quotes. A vulnerabilidade é marcada como benigna porque todos os módulos padrão não transmitem dados externos para esta função. Mas é teoricamente possível que existam módulos de terceiros através dos quais um ataque possa ser realizado.
- CVE-2021-36160 – Leituras fora dos limites no módulo mod_proxy_uwsgi causando uma falha.
- CVE-2021-34798 – Uma desreferência de ponteiro NULL causando uma falha no processo ao processar solicitações especialmente criadas.
As alterações não relacionadas à segurança mais notáveis são:
- Muitas mudanças internas no mod_ssl. As configurações “ssl_engine_set”, “ssl_engine_disable” e “ssl_proxy_enable” foram movidas de mod_ssl para o preenchimento principal (core). É possível usar módulos SSL alternativos para proteger conexões via mod_proxy. Adicionada a capacidade de registrar chaves privadas, que podem ser usadas no wireshark para analisar o tráfego criptografado.
- No mod_proxy, a análise dos caminhos de soquete unix passados para o URL “proxy:” foi acelerada.
- As capacidades do módulo mod_md, utilizado para automatizar o recebimento e manutenção de certificados utilizando o protocolo ACME (Automatic Certificate Management Environment), foram ampliadas. É permitido colocar domínios entre aspas em e forneceu suporte para tls-alpn-01 para nomes de domínio não associados a hosts virtuais.
- Adicionado o parâmetro StrictHostCheck, que proíbe a especificação de nomes de host não configurados entre os argumentos da lista de “permissões”.
Fonte: opennet.ru