CVE-2024-38476
Apache HTTP Server: backend-заголовки и внутреннее перенаправление
CVE-2024-38476 затрагивает Apache httpd до 2.4.60: вредоносные заголовки backend могут направить внутренний обработчик неожиданным образом. Обновитесь и проверьте legacy AddType-настройки, которые требуют миграции на SetHandler.
Кому нужно проверить
Администраторам Apache HTTP Server, работающего reverse proxy перед backend-приложениями, и владельцам сложных AddType/handler-конфигураций. Важна не только марка продукта, но и конкретная версия, способ установки, операционная система и конфигурация.
В чём риск
При злонамеренных или эксплуатируемых response headers backend может повлиять на внутреннее перенаправление httpd. В зависимости от конфигурации результатом может стать раскрытие информации, SSRF или исполнение локального обработчика; эти эффекты не гарантированы для каждого proxy.
Затронутые версии
Затронут Apache HTTP Server 2.4.0–2.4.59 при backend-приложениях, чьи HTTP response headers являются злонамеренными или могут быть скомпрометированы. Последствия зависят от внутренних перенаправлений и настроек handler; один reverse proxy сам по себе не подтверждает сценарий.
Исправленные версии
Исправлено в Apache HTTP Server 2.4.60. Некоторые legacy-конфигурации AddType, связывающие запрос с handler, нужно перенести на SetHandler. Устанавливайте актуальный поддерживаемый пакет и учитывайте backport ОС.
Что сделать
- 1Определите версию httpd и все backend-маршруты; проверьте конфигурации AddType, SetHandler, proxy и внутренних редиректов на фактических виртуальных хостах.
- 2Обновите Apache до 2.4.60 или более нового поддерживаемого выпуска/пакета с подтверждённым backport. Сохраните конфигурацию и проверьте upgrade на staging.
- 3Проверьте legacy AddType, которые назначают handler, и перенесите их на документированный SetHandler. Не меняйте конфигурацию механически: проверьте типы контента и запуск CGI/скриптов.
- 4После обновления проверьте обычные backend-ответы, проксирование, загрузки и handler-страницы; изучите журналы редиректов и неожиданных запросов. Не выкладывайте response headers с конфиденциальными данными.
Backend response и обработчик Apache
Проверьте доверие к backend и конфигурацию внутренних перенаправлений.
- 1Запрос проходит через proxy
- 2Backend возвращает headers
- 3Apache применяет внутренний handler/redirect
- 4Обновить и проверить конфигурацию
Примеры конфигурации и проверки
apachectl -tВыполняйте на сервере в окружении установленного Apache; команда проверяет синтаксис конфигурации и не перезапускает службу. Она не доказывает, что handler безопасен или что все Include-файлы принадлежат ожидаемому экземпляру.
Как не подпустить ботов к сайту
BotProtection принимает запросы перед вашим сайтом и фильтрует автоматизированные обращения. Поэтому ботам сложнее добраться до уязвимого компонента и начать его проверять или атаковать, а вероятность успешной автоматизированной атаки становится значительно ниже. Это дополнительный слой защиты: обновление уязвимых компонентов, проверка журналов и реагирование на инциденты остаются обязательными.
Первоисточники
Снизьте шанс атаки до того, как бот дойдёт до сайта
Подключите BotProtection как фильтр перед сайтом: подозрительные автоматизированные запросы отсекаются до обращения к вашему серверу. Это значительно снижает вероятность автоматизированной атаки, но не исправляет саму уязвимость, поэтому обновление и настройка компонентов остаются обязательными.