Bol vydaný server Apache HTTP 2.4.49, ktorý predstavuje 27 zmien a odstraňuje 5 zraniteľností:
- CVE-2021-33193 - mod_http2 je náchylný na nový variant útoku "HTTP Request Smuggling", ktorý umožňuje odoslaním špeciálne navrhnutých požiadaviek klienta vkliniť sa do obsahu požiadaviek od iných používateľov prenášaných cez mod_proxy (napr. môžete dosiahnuť vloženie škodlivého kódu JavaScript do relácie iného používateľa stránky) .
- CVE-2021-40438 je zraniteľnosť SSRF (Server Side Request Forgery) v mod_proxy, ktorá umožňuje presmerovanie požiadavky na server vybraný útočníkom odoslaním špeciálne vytvorenej požiadavky uri-path.
- CVE-2021-39275 - Pretečenie vyrovnávacej pamäte vo funkcii ap_escape_quotes. Zraniteľnosť je označená ako neškodná, pretože všetky štandardné moduly neprenášajú externé údaje do tejto funkcie. Je však teoreticky možné, že existujú moduly tretích strán, prostredníctvom ktorých je možné vykonať útok.
- CVE-2021-36160 – Čítania v module mod_proxy_uwsgi sú mimo hraníc a spôsobujú zlyhanie.
- CVE-2021-34798 - Dereferencia ukazovateľa NULL spôsobujúca zlyhanie procesu pri spracovávaní špeciálne vytvorených požiadaviek.
Najvýznamnejšie zmeny nesúvisiace so zabezpečením:
- Pomerne veľa vnútorných zmien v mod_ssl. Nastavenia „ssl_engine_set“, „ssl_engine_disable“ a „ssl_proxy_enable“ boli presunuté z mod_ssl do hlavnej náplne (jadra). Na ochranu pripojení cez mod_proxy je možné použiť alternatívne SSL moduly. Pridaná možnosť logovania súkromných kľúčov, ktoré je možné použiť vo wireshark na analýzu šifrovanej prevádzky.
- V mod_proxy sa zrýchlilo analyzovanie ciest soketov unixu odovzdaných do adresy URL „proxy:“.
- Rozšírili sa možnosti modulu mod_md, slúžiaceho na automatizáciu príjmu a údržby certifikátov pomocou protokolu ACME (Automatic Certificate Management Environment). Je povolené obklopiť domény úvodzovkami a poskytuje podporu pre tls-alpn-01 pre názvy domén, ktoré nie sú spojené s virtuálnymi hostiteľmi.
- Pridaný parameter StrictHostCheck, ktorý zakazuje špecifikovať nenakonfigurované názvy hostiteľov medzi argumentmi zoznamu „povoliť“.
Zdroj: opennet.ru