Издадена е версията на HTTP сървъра Apache 2.4.48 (версия 2.4.47 е пропусната), в която са представени 39 промени и е отстранена 8 уязвимости:
- CVE-2021-30641 — неправилно срабатыване на секцията в режим ‘MergeSlashes OFF’;
- CVE-2020-35452 — преливане на стека с единичен нулев байт в mod_auth_digest;
- CVE-2021-31618, CVE-2020-26691, CVE-2020-26690, CVE-2020-13950 — разыменоване на указателя NULL в mod_http2, mod_session и mod_proxy_http;
- CVE-2020-13938 — възможност за спиране на процеса httpd от непривилегирован потребител в Windows;
- CVE-2019-17567 — проблеми с протоколното съгласуване в mod_proxy_wstunnel и mod_proxy_http.
Наиболее заметные изменения, не связанные с безопасностью:
- В mod_proxy_wstunnel е добавена настройка ProxyWebsocketFallbackToProxyHttp за деактивиране на преминаването към използване на mod_proxy_http за WebSocket.
- Свързани функции, които сега са достъпни без модула mod_ssl, са включени в основния сървърен API (например, позволяват на модула mod_md да предоставя ключове и сертификати). SSL Обработката на OCSP (Online Certificate Status Protocol) отговори е прехвърлена от mod_ssl/mod_md в основната част, което позволява на другите модули да достъпват OCSP данни и да генерират OCSP отговори.
- В mod_md е позволено използването на маски в директивата MDomains, например, ‘MDomain *.host.net’. В директивата MDPrivateKeys е позволено задаването на различни типове ключове, например ‘MDPrivateKeys secp384r1 rsa2048’ позволява използване на сертификати ECDSA и RSA. Поддържа се остарелият протокол ACMEv1.
- В mod_lua е добавена поддръжка за Lua 5.4.
- Версията на модула mod_http2 е обновена. Подобрена е обработката на грешки. Добавена е опция ‘H2OutputBuffering on/off’ за управление на буферирането на изхода (по подразбиране е включена).
- В mod_dav в директивата FileETag е реализиран режим ‘Digest’ за генериране на ETag на базата на хеш от съдържанието на файла.
- В mod_proxy е позволено ограничаването на приложението ProxyErrorOverride с отделни статус кодове.
- Реализирани са нови директиви ReadBufferSize, FlushMaxThreshold и FlushMaxPipelined.
- В mod_rewrite е реализирана обработката на атрибута SameSite при парсинга на флага [CO] (cookie) в директивата RewriteRule.
- В mod_proxy е добавен хук check_trans за отхвърляне на заявки на ранна фаза.
- Издадената версия на HTTP сървъра Apache 2.4.48 (версия 2.4.47 е пропусната), в която са представени 39 промени и е отстранена 8 уязвимости: CVE-2021-30641 - неправилно срабатыване на секцията.
Източник: opennet.ru
