Itusilẹ olupin HTTP Apache 2.4.49 ti jẹ atẹjade, eyiti o ṣafihan awọn ayipada 27 ati awọn ailagbara 5 ti o wa titi:
- CVE-2021-33193 - mod_http2 ifaragba si iyatọ tuntun ti ikọlu Ibeere HTTP, eyiti ngbanilaaye, nipa fifiranṣẹ awọn ibeere alabara ti a ṣe apẹrẹ pataki, lati lọ sinu akoonu ti awọn ibeere awọn olumulo miiran ti a gbejade nipasẹ mod_proxy (fun apẹẹrẹ, o le ṣaṣeyọri naa fidipo koodu JavaScript irira ni igba ti olumulo miiran ti aaye naa) .
- CVE-2021-40438 - SSRF (Ibeere Ibeere Ibeere Olupin) ailagbara ni mod_proxy, eyiti o fun laaye, nipa fifiranṣẹ ibeere uri-ọna pataki kan ti a ṣe apẹrẹ, lati ṣe atunṣe ibeere naa si olupin ti o yan nipasẹ ikọlu.
- CVE-2021-39275 - Ṣafikun aponsedanu ni iṣẹ ap_escape_quotes. Ailagbara ti samisi bi kii ṣe eewu, nitori gbogbo awọn modulu boṣewa ko kọja data ita si iṣẹ yii. Ṣugbọn o ṣee ṣe ni imọ-jinlẹ pe awọn modulu ẹnikẹta wa nipasẹ eyiti ikọlu le ṣe.
- CVE-2021-36160 - Jade-aala ka ni mod_proxy_uwsgi module, Abajade ni a jamba.
- CVE-2021-34798 - Ifiweranṣẹ itọka asan ti nfa ilana jamba nigba mimu awọn ibeere ti a ṣe ni pataki.
Awọn iyipada ti kii ṣe aabo ti o ṣe akiyesi julọ ni:
- Oyimbo kan pupo ti abẹnu ayipada ninu mod_ssl. Awọn eto “ssl_engine_set”, “ssl_engine_disable” ati “ssl_proxy_enable” ti gbe lati mod_ssl si nkan akọkọ (mojuto). Agbara lati lo awọn modulu SSL omiiran lati ni aabo awọn asopọ nipasẹ mod_proxy ti pese. Ṣafikun agbara lati wọle awọn bọtini ikọkọ, eyiti o le ṣee lo ni wireshark lati ṣe itupalẹ ijabọ ti paroko.
- Mod_proxy ṣe itupalẹ iyara ti awọn ọna socket unix kọja ni “aṣoju:” URL.
- Awọn agbara ti module mod_md, eyiti o jẹ adaṣe adaṣe gbigba ati itọju awọn iwe-ẹri nipa lilo ilana ACME (Ayika Ijẹrisi Ijẹrisi Aifọwọyi), ti gbooro sii. Ti gba laaye gbigba awọn ibugbe ni ati pe o pese atilẹyin fun tls-alpn-01 fun awọn orukọ-ašẹ ti a ko so mọ awọn agbalejo foju.
- Ṣafikun aṣayan StrictHostCheck lati mu awọn orukọ igbalejo ti ko tunto bi awọn ariyanjiyan si atokọ “gba laaye”.
orisun: opennet.ru