ĂshtĂ« publikuar rregjistrimi i serverit HTTP Apache 2.4.49, i cili prezanton 27 ndryshime dhe eliminon 5 vulnerabilitete:
- CVE-2021-33193 â ndjeshmĂ«ria e mod_http2 ndaj njĂ« varianti tĂ« ri tĂ« sulmit "HTTP Request Smuggling", i cili lejon tĂ« infiltrat nĂ« pĂ«rmbajtjen e kĂ«rkesave tĂ« pĂ«rdoruesve tĂ« tjerĂ« pĂ«rmes dĂ«rgimit tĂ« kĂ«rkesave tĂ« formuara posaçërisht nga klientĂ«t, duke e bĂ«rĂ« tĂ« mundur inkuadrimin e kodit tĂ« dĂ«mshĂ«m JavaScript nĂ« sesionin e njĂ« pĂ«rdoruesi tjetĂ«r tĂ« faqes.
- CVE-2021-40438 â vulnerabiliteti SSRF (Server Side Request Forgery) nĂ« mod_proxy, i cili lejon, pĂ«rmes dĂ«rgimit tĂ« njĂ« kĂ«rkese tĂ« formuar posaçërisht, tĂ« redirektojĂ« kĂ«rkesĂ«n nĂ« serverin e zgjedhur nga sulmuesi.
- CVE-2021-39275 â mbushja e tepĂ«rt e buffers nĂ« funksionin ap_escape_quotes. Ky vulnerabilitet Ă«shtĂ« cilĂ«suar si i padĂ«mshĂ«m, pasi tĂ« gjithĂ« modulet standarde nuk dĂ«rgojnĂ« tĂ« dhĂ«na tĂ« jashtme nĂ« kĂ«tĂ« funksion. Por teorikisht Ă«shtĂ« e mundur qĂ« tĂ« ekzistojnĂ« module tĂ« jashtme, pĂ«rmes tĂ« cilave mund tĂ« realizohet njĂ« sulm.
- CVE-2021-36160 â lexime nga rajoni jashtĂ« kufijve tĂ« buffers nĂ« modulin mod_proxy_uwsgi, qĂ« shkakton dĂ«shtim.
- CVE-2021-34798 â dereferencimi i njĂ« treguesi tĂ« zero, qĂ« shkakton dĂ«shtimin e procesit gjatĂ« pĂ«rpunimit tĂ« kĂ«rkesave tĂ« formuara posaçërisht.
Ndryshimet më të dukshme, që nuk lidhen me sigurinë:
- Ka njĂ« numĂ«r tĂ« madh ndryshimesh tĂ« brendshme nĂ« mod_ssl. Nga mod_ssl janĂ« transferuar nĂ« kernel (core) konfigurimet "ssl_engine_set", "ssl_engine_disable" dhe "ssl_proxy_enable". ĂshtĂ« ofruar mundĂ«sia pĂ«r tĂ« pĂ«rdorur module alternative pĂ«r mbrojtjen e lidhjeve pĂ«rmes mod_proxy. ĂshtĂ« shtuar mundĂ«sia e regjistrimit tĂ« çelĂ«save tĂ« mbyllur, tĂ« cilin mund ta pĂ«rdorni nĂ« wireshark pĂ«r analizimin e trafikut tĂ« enkriptuar. SSLNĂ« mod_proxy Ă«shtĂ« pĂ«rmirĂ«suar analiza e rrugĂ«ve me socket unix, tĂ« dĂ«rguar nĂ« URL "proxy:".
- JanĂ« zgjeruar mundĂ«sitĂ« e modulit mod_md, i cili pĂ«rdoret pĂ«r automatizimin e marrjes dhe menaxhimit tĂ« certifikatave duke pĂ«rdorur protokollin ACME (Automatic Certificate Management Environment). ĂshtĂ« lejuar pĂ«rfshirja e domain-eve nĂ« "" dhe Ă«shtĂ« ofruar mbĂ«shtetje pĂ«r tls-alpn-01, nuk lidhet me hostet virtuale.
- ĂshtĂ« shtuar parametri StrictHostCheck, i cili ndalon specifikimin e emrave tĂ« hosteve tĂ« pa konfiguruar midis argumenteve tĂ« listĂ«s "allow". emrash domeneshĂshtĂ« publikuar rregjistrimi i serverit HTTP Apache 2.4.49, i cili prezanton 27 ndryshime dhe eliminon 5 vulnerabilitete: CVE-2021-33193 - ndjeshmĂ«ria e mod_http2 ndaj njĂ« varianti tĂ« ri tĂ« sulmit "HTTP Request.
- đ„ Publikimi i serverit http Apache 2.4.49 me eliminimin e vulnerabiliteteve | ProHoster
Burimi: opennet.ru
