Uvoľnenie HTTP servera Apache 2.4.61 s opravou zraniteľností

Verzia HTTP servera Apache 2.4.61 je k dispozícii, bola vydaná takmer okamžite po verzii 2.4.60 a obsahuje opravu regresívnej zmeny, ktorá spôsobila zraniteľnosť (CVE-2024-39884), umožňujúcu zobrazenie kódu skriptov, ktorých spracovanie je nastavené pomocou direktívy AddType (napríklad je možné vytvoriť špeciálne formátovanú požiadavku na PHP skript, ktorá vedie k zobrazeniu jeho obsahu, a nie jeho vykonaniu).

Vo verzii Apache httpd 2.4.60 bolo odstránených 8 zraniteľností, z ktorých 5 je označených ako závažné, a boli vykonané 13 zmien. Odhalené zraniteľnosti:

• CVE-2024-38473 — problém v mod_proxy, ktorý umožňuje obídenie autentifikácie na backendové služby použitím nekorektného kódovania v URL.
• CVE-2024-38476 — pri prítomnosti zraniteľnej aplikácie používané ako backend je možné dosiahnuť vykonávanie lokálnych skriptov alebo únik informácií.
• CVE-2024-38474, CVE-2024-38475 — nesprávne escapovanie výstupu mod_rewrite umožňuje útočníkovi odrážať URL na adresár v lokálnej FS, ktorý spracováva HTTP server, ale nie je dostupný cez odkaz.
• CVE-2024-38472 — možnosť vykonania SSRF útoku proti serverov na platforme Windows.
• CVE-2024-39573 — možnosť vykonania SSRF (Server-side request forgery) útoku na mod_rewrite, ktorý umožňuje spracovanie URL v mod_proxy pomocou prítomných v nastaveniach nebezpečných pravidiel (RewriteRule).
• CVE-2024-36387 — odmietnutie služby v dôsledku dereferencovania nulového ukazovateľa pri použití protokolu WebSocket nad HTTP/2.
• CVE-2024-38477 — odmietnutie služby pri spracovaní špeciálne formátovanej požiadavky v mod_proxy, spôsobené dereferencovaním nulového ukazovateľa.

Medzi nezávislými zmenami nesúvisiacimi so zabezpečením:

• V direktívach Listen a VirtualHost bola pridaná podpora pre špecifikáciu zóny a rozsahu lokálnych adries IPv6.
• Obsah súboru mime.types bol aktualizovaný.
• V mod_cgid bola pridaná voliteľná podpora prenosu súborových deskriptorov.
• V module mod_tls bol aktualizovaný balík rustls-ffi na verziu pred 0.13.0.
• V module mod_md, ktorý sa používa na automatizáciu získavania a údržby certifikátov pomocou protokolu ACME (Automatic Certificate Management Environment), bola pridaná direktíva MDCheckInterval na stanovenie intervalu kontroly zrušenia certifikátu.

Zdroj: opennet.ru