Apache 2.4.49 HTTP-serverversionen har publicerats, som introducerar 27 ändringar och åtgärdar 5 sårbarheter:
- CVE-2021-33193 - mod_http2 är mottaglig för en ny variant av "HTTP Request Smuggling"-attacken, som gör det möjligt att, genom att skicka specialdesignade klientförfrågningar, kila in sig i innehållet i förfrågningar från andra användare som överförs via mod_proxy (till exempel, du kan infoga skadlig JavaScript-kod i sessionen för en annan användare av webbplatsen).
- CVE-2021-40438 är en SSRF-sårbarhet (Server Side Request Forgery) i mod_proxy, som gör att begäran kan omdirigeras till en server som valts av angriparen genom att skicka en specialgjord uri-path-förfrågan.
- CVE-2021-39275 - Buffertspill i funktionen ap_escape_quotes. Sårbarheten är markerad som godartad eftersom alla standardmoduler inte skickar extern data till denna funktion. Men det är teoretiskt möjligt att det finns tredjepartsmoduler genom vilka en attack kan utföras.
- CVE-2021-36160 - Out-of-bounds-läser i mod_proxy_uwsgi-modulen som orsakar en krasch.
- CVE-2021-34798 - En NULL-pekarereferens som orsakar en processkrasch vid bearbetning av specialgjorda förfrågningar.
De mest anmärkningsvärda icke-säkerhetsändringarna är:
- Ganska många interna ändringar i mod_ssl. Inställningarna "ssl_engine_set", "ssl_engine_disable" och "ssl_proxy_enable" har flyttats från mod_ssl till huvudfyllningen (kärnan). Det är möjligt att använda alternativa SSL-moduler för att skydda anslutningar via mod_proxy. Lade till möjligheten att logga privata nycklar, som kan användas i wireshark för att analysera krypterad trafik.
- I mod_proxy har analysen av unix-sockets sökvägar som skickats till "proxy:"-URL:n påskyndats.
- Möjligheterna hos modulen mod_md, som används för att automatisera mottagande och underhåll av certifikat med hjälp av ACME-protokollet (Automatic Certificate Management Environment), har utökats. Det är tillåtet att omge domäner med citattecken och gav stöd för tls-alpn-01 för domännamn som inte är associerade med virtuella värdar.
- Lade till parametern StrictHostCheck, som förbjuder att ange okonfigurerade värdnamn bland "tillåt" listargumenten.
Källa: opennet.ru