Kritične ranjivosti u Apache HTTP Serveru
Dana 23. srpnja 2024., tvrtka Apache je objavila sigurnosno upozorenje o dvije kritične ranjivosti u svom HTTP Serveru, CVE-2024-40725 i CVE-2024-40898, koje mogu dovesti do HTTP request smugglinga i zaobilaženja SSL autentifikacije klijenta, što potencijalno može rezultirati neovlaštenim pristupom i drugim zlonamjernim aktivnostima.
Preporučuje se žurno ažuriranje zahvaćenih sustava.
Tehnički detalji značajnih ranjivosti otklonjenih ovim ažuriranjem:
- CVE-2024-40725: Djelomično ponovno pojavljivanje ranjivosti za prethodni problem (CVE-2024–39884) omogućava otkrivanje izvornog kôda putem određenih zastarjelih postavki temeljenih na content-type konfiguraciji.
- CVE-2024-40898: Server-Side Request Forgery (SSRF) ranjivost u mod_rewrite modulu na Windows sustavima omogućava napadačima izvlačenje NTLM hashova kroz specifično izrađene zahtjeve.
Eksploatacija ovih ranjivosti napadačima omogućuje dobivanje neovlaštenog pristupa, preuzimanje sesije, Cross-Site Scripting (XSS) ili umetanje naredbi (engl. command injection). Više informacija o metodi napada možete pronaći u službenim objavama.
Zahvaćeni proizvodi:
- Navedene ranjivosti zahvaćaju Apache HTTP Server verzije 2.4.0 do 2.4.61.
Preporuke:
Alat otvorenog kôda za provjeru ranjivosti javno je dostupan na githubu.
Preporučuje se žurno ažuriranje ranjivih sustava na najnoviju dostupnu verziju Apache HTTP Servera (2.4.62 ili noviju).
Više informacija moguće je pročitati na poveznicama u nastavku:
- https://censys.com/cve-2024-40725-40898/
- https://medium.com/@elniak/cve-2024-40725-and-cve-2024-40898-critical-vulnerabilities-in-apache-http-server-d292084255dc
- https://github.com/TAM-K592/CVE-2024-40725-CVE-2024-40898
[inicijalna objava: 25.07.2024 - 13:30]
Normativni akti
- Ustav Republike Hrvatske
- Strategija nacionalne sigurnosti
- Zakon o sustavu domovinske sigurnosti
- Zakon o sigurnosno-obavještajnom sustavu RH
- Zakon o tajnosti podataka
- Zakon o informacijskoj sigurnosti
- Zakon o kibernetičkoj sigurnosti
- Nacionalna strategija kibernetičke sigurnosti i Akcijski plan za provedbu Nacionalne strategije kibernetičke sigurnosti
- Zakon o provedbi Uredbe (EU) 2019/881 Europskog parlamenta i Vijeća od 17. travnja 2019. (Zakon o provedbi kibernetičke sigurnosne certifikacije)
- Odluka o provedbi Odluke br. 1104/2011/EU Europskog parlamenta i Vijeća od 25. listopada 2011. o pravilima za pristup javno reguliranoj usluzi koju pruža globalni navigacijski satelitski sustav uspostavljen u sklopu programa Galileo
- Smjernice za postupanje s neklasificiranim podacima