Un aggiornamento significativo è stato distribuito dalla Apache Software Foundation per il diffuso Apache HTTP Server, correggendo un totale di cinque vulnerabilità di sicurezza distinte. È raccomandato che gli amministratori eseguano questo aggiornamento il prima possibile al fine di assicurare che la loro infrastruttura web sia protetta contro i vettori individuati.
La versione 2.4.66, appena rilasciata, rappresenta una correzione complessiva di problematiche che includono sia loop infiniti durante il rinnovo dei certificati sia possibili perdite di credenziali NTLM su sistemi operativi Windows.
Due delle vulnerabilità individuate, classificate come “moderate”, costituiscono rischi specifici per le configurazioni di hosting condiviso che impiegano suexec e per gli ambienti Windows, mentre le restanti tre sono etichettate come “bassa” gravità.
 Avvio delle iscrizioni al corso Cyber Offensive Fundamentals Vuoi smettere di guardare tutorial e iniziare a capire davvero come funziona la sicurezza informatica? La base della sicurezza informatica, al di là di norme e tecnologie, ha sempre un unico obiettivo: fermare gli attacchi dei criminali informatici. Pertanto "Pensa come un attaccante, agisci come un difensore". Ti porteremo nel mondo dell'ethical hacking e del penetration test come nessuno ha mai fatto prima. Per informazioni potete accedere alla pagina del corso oppure contattarci tramite WhatsApp al numero 379 163 8765 oppure scrivendoci alla casella di posta [email protected].
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Tra le correzioni più significative di questo aggiornamento figura il CVE-2025-59775, una falla di sicurezza relativa alla falsificazione delle richieste lato server (SSRF) che interessa Apache HTTP Server in esecuzione su Windows. Questa vulnerabilità, considerata di gravità moderata, si verifica a causa dell’interazione tra le impostazioni AllowEncodedSlashes On e MergeSlashes Off.
Secondo quanto affermato nella nota, questa configurazione “consente di divulgare potenzialmente hash NTLM a un server dannoso tramite SSRF e richieste o contenuti dannosi”. Ciò potrebbe consentire agli aggressori di raccogliere credenziali dall’ambiente server, rendendola una patch prioritaria per gli amministratori Windows.
La seconda falla di gravità moderata, il CVE-2025-66200, riguarda l’interazione tra mod_userdir e suexec. Questa vulnerabilità consente di aggirarla tramite la direttiva AllowOverride FileInfo. Il report osserva che “gli utenti con accesso alla direttiva RequestHeader in htaccess possono causare l’esecuzione di alcuni script CGI con un ID utente inaspettato”. Ciò interrompe di fatto l’isolamento previsto della funzionalità suexec, fondamentale per la sicurezza in ambienti multiutente.
L’aggiornamento risolve ulteriori tre problemi di lieve gravità che, sebbene meno critici, potrebbero interrompere le operazioni o creare comportamenti imprevisti:
Si consiglia agli utenti di aggiornare alla versione 2.4.66 , che risolve il problema
Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.
Vulnerabilità
Cyber Italia
Cyber Italia
Cybercrime
Cyber Italia