Bol uverejnený vydanie HTTP servera Apache 2.4.49, ktoré prináša 27 zmien a opravuje 5 zraniteľností:
- CVE-2021-33193 — zraniteľnosť mod_http2 na nový variant útoku "HTTP Request Smuggling", ktorý umožňuje vkladať špeciálne formátované klientské požiadavky do obsahu požiadaviek iných používateľov, ktoré sú prenášané cez mod_proxy (napríklad je možné dosiahnuť vloženie škodlivého JavaScript kódu do relácie iného používateľa stránky).
- CVE-2021-40438 — zraniteľnosť SSRF (Server Side Request Forgery) v mod_proxy, ktorá umožňuje cez odoslanie špeciálne formátovanej požiadavky uri-path nasmerovať požiadavku na server vybraný útočníkom.
- CVE-2021-39275 — pretečenie vyrovnávacej pamäte vo funkcii ap_escape_quotes. Zraniteľnosť je označená ako nebezpečná, pretože všetky štandardné moduly neodovzdávajú externé dáta do tejto funkcie. Ale teoreticky môžu existovať externé moduly, prostredníctvom ktorých by mohla byť útok uskutočnený.
- CVE-2021-36160 — čítania z oblasti mimo hraníc vyrovnávacej pamäte v module mod_proxy_uwsgi, čo vedie k pádu.
- CVE-2021-34798 — dereferencovanie nulového ukazovateľa, čo vedie k pádu procesu pri spracovaní špeciálne formátovaných požiadaviek.
Najvýraznejšie zmeny, ktoré sa netýkajú bezpečnosti:
- Dosť veľa interných zmien v mod_ssl. Do main core boli presunuté nastavenia „ssl_engine_set“, „ssl_engine_disable“ a „ssl_proxy_enable“. Bolo poskytnuté možnosť použiť alternatívne SSL-moduly pre ochranu pripojení cez mod_proxy. Bola pridaná možnosť vedenia logu uzavretých kľúčov, ktorý môže byť použitý v wireshark na analýzu zašifrovaného prenosu.
- V mod_proxy bol zrýchlený rozbor ciest s unix socket, prenášaných v URL „proxy:”.
- Rozšírené možnosti modulu mod_md, používaného na automatizáciu získavania a správy certifikátov pomocou protokolu ACME (Automatic Certificate Management Environment). Povolené je rámcovanie domén v <MDomain …> a poskytnutá podpora tls-alpn-01 pre doménových mien, nie viazané na virtuálne hostiteľov.
- Pridaný parameter StrictHostCheck, ktorý zakazuje uvádzať nenastavené mená hostiteľov v zozname argumentov „allow“.
Zdroj: opennet.ru
