Släpp av HTTP-servern Apache 2.4.61 med åtgärder mot sårbarheter

Versionen av HTTP-servern Apache 2.4.61 har släppts, knappt efter utgivningen av 2.4.60, och inkluderar en åtgärd för en regressiv förändring som orsakade en sårbarhet (CVE-2024-39884) som gör det möjligt att visa koden för skript vars behandling är konfigurerad med hjälp av direktivet AddType (till exempel, det är möjligt att formulera en speciellt utformad begäran till en PHP-skript som leder till att dess innehåll visas istället för att köras).

I versionen Apache httpd 2.4.60 har 8 sårbarheter åtgärdats, varav 5 markerats som viktiga, och 13 ändringar har införts. Identifierade sårbarheter:

• CVE-2024-38473 — ett problem med mod_proxy som tillåter omgående autentisering av backend-tjänster genom användning av felaktig kodning i URL:er.
• CVE-2024-38476 — vid förekomsten av en sårbar applikation som används som backend kan det leda till körning av lokala skript eller läckage av information.
• CVE-2024-38474, CVE-2024-38475 — felaktig escapering av utdata från mod_rewrite möjliggör för en angripare att reflektera URL:er på kataloger i den lokala filsystemet som hanteras av HTTP-servern men är inte tillgängliga via länk.
• CVE-2024-38472 — möjlighet att genomföra en SSRF-attack mot servrar på Windows-plattformen.
• CVE-2024-39573 — möjlighet att genomföra en SSRF (Server-side request forgery) attack på mod_rewrite, vilket gör det möjligt att bearbeta URL:er i mod_proxy med hjälp av osäkra regler (RewriteRule) som finns i inställningarna.
• CVE-2024-36387 — denial of service till följd av dereferens av nullpekare vid användning av WebSocket-protokollet ovanpå HTTP/2.
• CVE-2024-38477 — denial of service vid behandling av en speciellt utformad begäran i mod_proxy, orsakad av dereferens av nullpekare.

Bland de icke-säkerhetsrelaterade ändringarna:

• I direktiven Listen och VirtualHost har stöd för att ange zon och räckvidd för lokala IPv6-adresser lagts till.
• Innehållet i filen mime.types har uppdaterats.
• I mod_cgid har valfri stöd för överföring av filbeskrivare lagts till.
• I modulen mod_tls har paketet rustls-ffi uppdaterats till version 0.13.0.
• I modulen mod_md, som används för automatisering av skaffande och hantering av certifikat med hjälp av ACME-protokollet (Automatic Certificate Management Environment), har direktivet MDCheckInterval införts för att bestämma intervallen för att kontrollera återkallande av certifikat.

Källa: opennet.ru