Serveri Apache HTTP 2.4.49 është lëshuar, duke prezantuar 27 ndryshime dhe duke eliminuar 5 dobësi:
- CVE-2021-33193 - mod_http2 është i ndjeshëm ndaj një variant të ri të sulmit "HTTP Request Smuggling", i cili lejon, duke dërguar kërkesa të klientëve të dizajnuara posaçërisht, të futet në përmbajtjen e kërkesave nga përdoruesit e tjerë të transmetuara përmes mod_proxy (për shembull, mund të arrini futjen e kodit keqdashës JavaScript në sesionin e një përdoruesi tjetër të faqes).
- CVE-2021-40438 është një cenueshmëri SSRF (Server Side Request Forgery) në mod_proxy, e cila lejon që kërkesa të ridrejtohet në një server të zgjedhur nga sulmuesi duke dërguar një kërkesë të krijuar posaçërisht për rrugën uri.
- CVE-2021-39275 - Mbushje e buferit në funksionin ap_escape_quotes. Dobësia është shënuar si e mirë sepse të gjitha modulet standarde nuk i kalojnë të dhënat e jashtme këtij funksioni. Por teorikisht është e mundur që të ekzistojnë module të palëve të treta përmes të cilave mund të kryhet një sulm.
- CVE-2021-36160 - Lexohet jashtë kufijve në modulin mod_proxy_uwsgi duke shkaktuar një përplasje.
- CVE-2021-34798 - Një dereferencim i treguesit NULL që shkakton një ndërprerje të procesit gjatë përpunimit të kërkesave të krijuara posaçërisht.
Ndryshimet më të dukshme jo të sigurisë janë:
- Shumë ndryshime të brendshme në mod_ssl. Cilësimet "ssl_engine_set", "ssl_engine_disable" dhe "ssl_proxy_enable" janë zhvendosur nga mod_ssl në mbushjen kryesore (bërthamë). Është e mundur të përdoren module alternative SSL për të mbrojtur lidhjet përmes mod_proxy. U shtua aftësia për të regjistruar çelësat privatë, të cilët mund të përdoren në wireshark për të analizuar trafikun e koduar.
- Në mod_proxy, analizimi i shtigjeve të foleve unix të kaluar në URL-në "proxy:" është përshpejtuar.
- Aftësitë e modulit mod_md, i përdorur për të automatizuar marrjen dhe mirëmbajtjen e certifikatave duke përdorur protokollin ACME (Automatic Certificate Management Environment), janë zgjeruar. Lejohet të rrethojë domenet me thonjëza brenda dhe ofroi mbështetje për tls-alpn-01 për emrat e domeneve që nuk lidhen me hostet virtualë.
- U shtua parametri StrictHostCheck, i cili ndalon specifikimin e emrave të hosteve të pakonfiguruara midis argumenteve të listës "lejo".
Burimi: opennet.ru