[JustisCERT-varsel] [#085-2021] [TLP:CLEAR] Kritisk sårbarhet i Apache HTTP Server

JustisCERT ønsker å varsle om 2 sårbarheter i Apache HTTP Server. CVE-2021-44224 med CVSS-score 8.2 og CVE-2021-44790 med CVSS-score 9.8. [1]

Apache har publisert oppdatering til berørte produkter [2].

Berørte produkter er:

• Apache HTTP Server < 2.4.52

Anbefalinger:

• Patch/oppdater berørte produkter
• Fas ut software/hardware som ikke kan oppdateres og avhend utstyret på en sikker måte slik at data ikke kan leses av uønskede
• Prioriter systemer som kan nås fra internett (og andre nett virksomheten ikke stoler på) først
• Begrens hvem som kan nå internetteksponerte løsninger ved bruk av Geo-blokking (velg f.eks. Norge dersom tjenesten kun skal nås derfra) eller begrens den til kun ønskede IP-adresser

Kilder:
[1] https://threatpost.com/apache-httpd-server-bugs-rce-dos/177234/
[2] https://httpd.apache.org/security/vulnerabilities_24.html