Uvoľnenie http servera Apache 2.4.62 s opravou 2 zraniteľností

K dispozícii je vydanie HTTP servera Apache 2.4.62, v ktorom boli odstránené dve zraniteľnosti a vykonaných bolo 6 zmien. Prvá zraniteľnosť (CVE-2024-40898) umožňuje uskutočniť útok SSRF (Server-side request forgery) na mod_rewrite. Problém sa prejavuje iba na platforme Windows a pri zasielaní špeciálne formátovaných požiadaviek môže viesť k úniku NTLM hashov na server, ktorý je pod kontrolou útočníkov.

Druhá zraniteľnosť (CVE-2024-40725) umožňuje zobraziť kód skriptov, ktorých spracovanie je nastavené pomocou direktívy AddType. Napríklad je možné vytvoriť špeciálne formátovaný požiadavok na PHP skript, ktorý vedie k zobrazeniu jeho obsahu, a nie vykonaniu. Oprava blokuje ďalšiu možnosť zneužitia zraniteľnosti CVE-2024-39884, ktorá bola odstránená vo verzii 2.4.61.

Medzi zmenami nesúvisiacimi s bezpečnosťou možno vyzdvihnúť pridanie do mod_ssl možnosti načítania certifikátov a kľúčov z úložísk podporujúcich štandard pkcs11.

Podľa júlového hlásenia spoločnosti Netcraft je pod správou HTTP servera Apache približne 212 miliónov stránok (pred rokom 228 miliónov). Podiel Apache httpd je odhadovaný na 19.28% zo všetkých stránok, čo zodpovedá druhému miestu podľa obľúbenosti v tejto kategórii (podiel Nginx je 21.35%, Cloudflare 11.05%, OpenResty (platforma založená na nginx a LuaJIT) 0.79%). Pri zohľadnení iba aktívnych stránok Apache zaujíma prvé miesto v rebríčku s podielom 19.13% (podiel Nginx je 18.09%, Cloudflare 14.80%, Google 10.01%). Medzi miliónom najnavštevovanejších stránok na svete Apache je na treťom mieste s podielom 19.69% (vedú Cloudflare 23.10% a Nginx 20.50%).

Zdroj: opennet.ru