Na voljo je izdaja HTTP strežnika Apache 2.4.61, ki je bila objavljena skoraj takoj po izdaji 2.4.60 in vključuje popravek regresijske napake, ki je povzročila ranljivost (CVE-2024-39884), ki omogoča ogled kode skript, katerih obdelava je nastavljena z direktivo AddType (na primer, mogoče je oblikovati posebej oblikovano zahtevo do PHP skripta, ki bo privedla do prikaza njegove vsebine, namesto da bi ga izvršila).
V različici Apache httpd 2.4.60 je bilo odprtih 8 ranljivosti, od katerih je 5 označenih za pomembne, prav tako pa je bilo predstavljeno 13 sprememb. Odkrite ranljivosti:
- CVE-2024-38473 — težava v mod_proxy, ki omogoča obhod overjanja storitev na backendu skozi uporabo nepravilne kodiranja v URL-ju.
- CVE-2024-38476 — ob prisotnosti ranljive aplikacije, ki se uporablja kot backend, je mogoče doseči izvajanje lokalnih skriptov ali uhajanje informacij.
- CVE-2024-38474, CVE-2024-38475 — nepravilno izvajanje oddajanja mod_rewrite, ki omogoča napadalcu, da odraža URL na imenik v lokalnem datotečnem sistemu, ki ga obdeluje HTTP strežnik, a ni dostopen preko povezave.
- CVE-2024-38472 — možnost izvedbe napada SSRF proti strežnikov na platformi Windows.
- CVE-2024-39573 — možnost izvedbe napada SSRF (Server-side request forgery) na mod_rewrite, ki omogoča obdelavo URL v mod_proxy s pomočjo prisotnih nevarnih pravil v nastavitvah (RewriteRule).
- CVE-2024-36387 — zavrnitev storitve zaradi dereferenciranja ničelnega kazalca pri uporabi protokola WebSocket nad HTTP/2.
- CVE-2024-38477 — zavrnitev storitve pri obdelavi posebej oblikovane zahteve v mod_proxy, povzročena z dereferenciranjem ničelnega kazalca.
Med spremembami, ki niso povezane z varnostjo:
- V direktivah Listen in VirtualHost je bila dodana podpora za določanje območja in razpona lokalnih naslovov IPv6.
- Vsebina datoteke mime.types je bila posodobljena.
- V mod_cgid je bila dodana opcijska podpora za prenos datotečnih deskriptorjev.
- V modulu mod_tls do različice 0.13.0 je bil posodobljen paket rustls-ffi.
- V modulu mod_md, ki se uporablja za avtomatizacijo pridobivanja in vzdrževanja potrdil z uporabo protokola ACME (Automatic Certificate Management Environment), je bila dodana direktiva MDCheckInterval za določanje intervala preverjanja preklica potrdila.
Izvor: opennet.ru
