Пуснат е релиз на HTTP сървъра Apache 2.4.66, в който са отстранени 5 уязвимости и са направени множество промени.
Отстранените уязвимости (първите 2 имат умерен риск, а останалите - нисък):
- CVE-2025-66200 — организация на изпълнението на CGI скрипт от друг потребител в конфигурации с mod_userdir и suexec чрез манипулации с директивата «RequestHeader» в .htaccess файл (ако използването й в .htaccess е разрешено).
- CVE-2025-59775 — SSRF уязвимост (Server-Side Request Forgery), водеща до изтичане на NTLM хеш на друг сървър при използване на Apache httpd на платформата Windows в конфигурации с настройки «AllowEncodedSlashes On» и «MergeSlashes Off».
- CVE-2025-65082 — презаписване на променливи на средата за CGI скриптове поради неправилно екстриранe на управляващи символи (задаването на променливи в настройките може да презапише стойностите на променливите, изчислени сървър за CGI).
- CVE-2025-58098 — предаване на екстриран низ на заявка в SSI (Server Side Includes) директивата «» в конфигурации с mod_cgid вместо mod_cgi.
- CVE-2025-55753 — изпращане на непрекъснати (без забавяне между заявките) повторни ACME заявки за обновление на сертификата в модула mod_md след многобройни неуспехи при опит за обновление на изтекъл сертификат.
Сред подобренията, несвързани с безопасността:
- Модулът mod_md с реализация на протокола ACME е актуализиран до версия 2.6.6:
- Добавена е поддръжка на разширението на протокола ARI (ACME Renewal Information), позволяващо получаване на информация за необходимостта от обновление на сертификатите и избор на оптимално време за обновление. За включване на ARI е предложена директива «MDRenewViaARI on|off».
- Реализирана е директивата «MDInitialDelay» за задаване на забавяне при проверка на сертификата след рестартиране на сървъра.
- Стойността по подразбиране на параметъра MDRetryDelay (забавяне преди повторен опит след грешка) е увеличена до 30 секунди.
- Поддръжката на VPN-мрежата Tailscale е прекратена.
- Коригирани са грешки и изтичания на памет.
- Модулът mod_http2 е актуализиран до версия 2.0.35, в която е добавена директивата «H2MaxStreamErrors» за задаване на лимит на броя на грешките в потока, след достигането на който връзката ще бъде затворена.
- В mod_http2 е подобрено обработването на отговори с код 3 от mod_cache.
- В mod_proxy_http2 е реализирана директивата «ProxyErrorOverride» за презаписване на кодовете на грешките.
- В mpm_common е добавена директивата «ListenTCPDeferAccept», чрез която може да се зададе стойността на опцията TCP_DEFER_ACCEPT (активиране само при получаване на данни на сокета) за слушащия сокет.
- В mod_ssl е добавена директивата «SSLVHostSNIPolicy» за настройка на правилата за съвместимост за виртуалните хостове.
Източник: opennet.ru
