Apache HTTP serveri 2.4.49 chiqarildi, u 27 ta oʻzgartirish kiritdi va 5 ta zaiflikni yoʻq qildi:
- CVE-2021-33193 - mod_http2 "HTTP so'rovi kontrabandasi" hujumining yangi variantiga sezgir bo'lib, u maxsus ishlab chiqilgan mijoz so'rovlarini yuborish orqali mod_proxy orqali yuborilgan boshqa foydalanuvchilarning so'rovlari tarkibiga kirishga imkon beradi (masalan, saytning boshqa foydalanuvchisining sessiyasiga zararli JavaScript kodini kiritishingiz mumkin).
- CVE-2021-40438 mod_proxy’dagi SSRF (Server tomoni so‘rovini qalbakilashtirish) zaifligi bo‘lib, so‘rovni maxsus ishlab chiqilgan uri-yo‘l so‘rovini yuborish orqali tajovuzkor tanlagan serverga yo‘naltirish imkonini beradi.
- CVE-2021-39275 - ap_escape_quotes funksiyasida bufer to'lib ketdi. Zaiflik xavfsiz deb belgilangan, chunki barcha standart modullar ushbu funktsiyaga tashqi ma'lumotlarni uzatmaydi. Ammo nazariy jihatdan hujumni amalga oshirish mumkin bo'lgan uchinchi tomon modullari bo'lishi mumkin.
- CVE-2021-36160 - mod_proxy_uwsgi modulidagi chegaradan tashqari o'qishlar xatoga olib keladi.
- CVE-2021-34798 - Maxsus tayyorlangan so'rovlarni qayta ishlash jarayonida jarayonning ishdan chiqishiga olib keladigan NULL ko'rsatgichni yo'qotish.
Xavfsizlik bilan bog'liq bo'lmagan eng muhim o'zgarishlar:
- Mod_ssl-da juda ko'p ichki o'zgarishlar. "Ssl_engine_set", "ssl_engine_disable" va "ssl_proxy_enable" sozlamalari mod_ssl dan asosiy to'ldirishga (yadro) ko'chirildi. Mod_proxy orqali ulanishlarni himoya qilish uchun muqobil SSL modullaridan foydalanish mumkin. Shifrlangan trafikni tahlil qilish uchun wireshark-da ishlatilishi mumkin bo'lgan shaxsiy kalitlarni jurnalga kiritish imkoniyati qo'shildi.
- Mod_proxy-da "proksi:" URL manziliga o'tgan unix soket yo'llarini tahlil qilish tezlashtirildi.
- ACME (Automatic Certificate Management Environment) protokoli yordamida sertifikatlarni qabul qilish va ularga xizmat ko‘rsatishni avtomatlashtirish uchun foydalaniladigan mod_md modulining imkoniyatlari kengaytirildi. Domenlarni qo'shtirnoq bilan o'rashga ruxsat beriladi va virtual xostlar bilan bog'lanmagan domen nomlari uchun tls-alpn-01 ni qo'llab-quvvatladi.
- "Ruxsat berish" ro'yxati argumentlari orasida sozlanmagan xost nomlarini ko'rsatishni taqiqlovchi StrictHostCheck parametri qo'shildi.
Manba: opennet.ru