Nuove vulnerabilità Linux e giorni impegnativi per i sistemisti nell’estate 2024

Nei giorni scorsi numerose vulnerabilità che mettono a rischio i sistemi informatici

Vulnerabilità in OpenSSH

Questa vulnerabilità è sfruttabile da remoto e garantisce l’accesso root non autenticato. Gli è stato assegnato l’identificatore CVE-2024-6387 e denominato regreSSHion.

Per ulteriori informazioni, vedere:
https://www.qualys.com/2024/07/01/cve-2024-6387/regresshion.txt
https://www.cve.org/CVERecord?id=CVE-2024-6387

Vulnerabilità in Apache

Inoltre tre aggiornamenti di Apache a distanza di pochi giorni.
Il primo che affligge le versioni dalla 2.4.0 fino alla 2.4.59.
Il server HTTP Apache può subire un arresto anomalo con conseguente Denial of Service in mod_proxy tramite una richiesta dannosa (CVE-2024-38477)

Poi con il rilascio della versione 2.4.60 e poi 2.4.61
Questo aggiornamento serve a correggere una regressione e a prendere nota dei problemi di sicurezza che non erano elencati nel file CHANGES incluso nel codice sorgente.
Risolto un problema di regressione in cui un file di configurazione che utilizzava AddType anziché AddHandler poteva causare il download di file PHP grezzi anziché l’elaborazione.

Per ulteriori informazioni, vedere:
https://downloads.apache.org/httpd/CHANGES_2.4.60
https://www.cve.org/CVERecord?id=CVE-2024-39573
https://www.cve.org/CVERecord?id=CVE-2024-38477
https://www.cve.org/CVERecord?id=CVE-2024-38476
https://www.cve.org/CVERecord?id=CVE-2024-38475
https://www.cve.org/CVERecord?id=CVE-2024-38474
https://www.cve.org/CVERecord?id=CVE-2024-38473
https://www.cve.org/CVERecord?id=CVE-2024-38472
https://www.cve.org/CVERecord?id=CVE-2024-36387

Prima con il rilascio della versione 2.4.61 per sistemare la regressione introdotta con il precedente rilascio
Per ulteriori informazioni, vedere:
https://downloads.apache.org/httpd/CHANGES_2.4
https://www.cve.org/CVERecord?id=CVE-2024-39884

Fine supporto CentOS 7 dal 30 giugno 2024

Se aggiungiamo che le macchine che installano CentOS 7 non ricevono più aggiornamenti di sicurezza (EOL End Of Life) dal 30 giugno scorso, sicuramente i sistemisti sono impegnati in una intensa attività di migrazione e aggiornamento dei sistemi.