Serverul Apache HTTP 2.4.49 a fost lansat, introducând 27 modificări și eliminând 5 vulnerabilități:
- CVE-2021-33193 - mod_http2 este susceptibil la o nouă variantă a atacului „HTTP Request Smuggling”, care permite, prin trimiterea de solicitări special concepute pentru client, să se încadreze în conținutul solicitărilor de la alți utilizatori transmise prin mod_proxy (de exemplu, puteți realiza inserarea unui cod JavaScript rău intenționat în sesiunea altui utilizator al site-ului).
- CVE-2021-40438 este o vulnerabilitate SSRF (Server Side Request Forgery) în mod_proxy, care permite redirecționarea cererii către un server ales de atacator prin trimiterea unei cereri uri-path special concepute.
- CVE-2021-39275 - Buffer overflow în funcția ap_escape_quotes. Vulnerabilitatea este marcată ca fiind benignă deoarece toate modulele standard nu transmit date externe acestei funcții. Dar teoretic este posibil să existe module terțe prin care să poată fi efectuat un atac.
- CVE-2021-36160 - Citirile în afara limitelor în modulul mod_proxy_uwsgi provocând o blocare.
- CVE-2021-34798 - O dereferință de pointer NULL care provoacă o blocare a procesului la procesarea cererilor special concepute.
Cele mai notabile modificări non-securitate sunt:
- Destul de multe modificări interne în mod_ssl. Setările „ssl_engine_set”, „ssl_engine_disable” și „ssl_proxy_enable” au fost mutate din mod_ssl în umplerea principală (core). Este posibil să utilizați module SSL alternative pentru a proteja conexiunile prin mod_proxy. S-a adăugat posibilitatea de a înregistra chei private, care pot fi folosite în wireshark pentru a analiza traficul criptat.
- În mod_proxy, analizarea căilor de socket Unix trecute în adresa URL „proxy:” a fost accelerată.
- Capacitățile modulului mod_md, utilizate pentru automatizarea primirii și întreținerii certificatelor folosind protocolul ACME (Automatic Certificate Management Environment), au fost extinse. Este permis să înconjurați domeniile cu ghilimele în și a oferit suport pentru tls-alpn-01 pentru nume de domenii care nu sunt asociate cu gazde virtuale.
- S-a adăugat parametrul StrictHostCheck, care interzice specificarea numelor de gazdă neconfigurate printre argumentele listei „permite”.
Sursa: opennet.ru