llançament del servidor HTTP Apache 2.4.43 (es va saltar la versió 2.4.42), que va introduir i eliminat :
- CVE-2020-1927: una vulnerabilitat a mod_rewrite que permet utilitzar el servidor per reenviar peticions a altres recursos (redirecció oberta). Alguns paràmetres de mod_rewrite poden fer que l'usuari sigui reenviat a un altre enllaç, codificat amb un caràcter de nova línia dins d'un paràmetre utilitzat en una redirecció existent.
- CVE-2020-1934: vulnerabilitat a mod_proxy_ftp. L'ús de valors no inicialitzats pot provocar fuites de memòria quan es transmeten sol·licituds a un servidor FTP controlat per un atacant.
- Fuga de memòria a mod_ssl que es produeix en encadenar sol·licituds OCSP.
Els canvis més destacats que no són de seguretat són:
- S'ha afegit un nou mòdul , que proporciona integració amb el gestor del sistema systemd. El mòdul us permet utilitzar httpd en serveis amb el tipus "Tipus=notificar".
- S'ha afegit suport de compilació creuada als apxs.
- S'han ampliat les capacitats del mòdul mod_md, desenvolupat pel projecte Let's Encrypt per automatitzar la recepció i manteniment de certificats mitjançant el protocol ACME (Automatic Certificate Management Environment):
- S'ha afegit la directiva MDContactEmail, a través de la qual podeu especificar un correu electrònic de contacte que no se superposi amb les dades de la directiva ServerAdmin.
- Per a tots els amfitrions virtuals, es verifica el suport per al protocol utilitzat quan es negocia un canal de comunicació segur ("tls-alpn-01").
- Permet que les directives mod_md s'utilitzin en blocs I .
- Assegura que la configuració anterior es sobreescriu quan es reutilitza MDCChallenges.
- S'ha afegit la possibilitat de configurar l'URL per al monitor CTLog.
- Per a les ordres definides a la directiva MDMessageCmd, es proporciona una crida amb l'argument "instal·lat" quan s'activa un certificat nou després de reiniciar el servidor (per exemple, es pot utilitzar per copiar o convertir un certificat nou per a altres aplicacions).
- mod_proxy_hcheck ha afegit suport per a la màscara %{Content-Type} a les expressions de verificació.
- S'han afegit els modes CookieSameSite, CookieHTTPOnly i CookieSecure a mod_usertrack per configurar el processament de les galetes de la pista d'usuari.
- mod_proxy_ajp implementa una opció "secreta" per als controladors de proxy per donar suport al protocol d'autenticació AJP13 heretat.
- S'ha afegit un conjunt de configuració per a OpenWRT.
- S'ha afegit suport a mod_ssl per utilitzar claus privades i certificats d'OpenSSL ENGINE especificant l'URI PKCS#11 a SSLCertificateFile/KeyFile.
- Proves implementades mitjançant el sistema d'integració contínua Travis CI.
- S'ha reforçat l'anàlisi de les capçaleres de codificació de transferència.
- mod_ssl proporciona negociació del protocol TLS en relació amb amfitrions virtuals (admès quan es construeix amb OpenSSL-1.1.1+.
- Mitjançant l'ús de hash per a les taules d'ordres, s'acceleren els reinicis en mode "gràcil" (sense interrompre els processadors de consultes en execució).
- S'han afegit taules de només lectura r:headers_in_table, r:headers_out_table, r:err_headers_out_table, r:notes_table i r:subprocess_env_table a mod_lua. Permet que les taules se'ls assigni el valor "nil".
- A mod_authn_socache, el límit de la mida d'una línia en memòria cau s'ha augmentat de 100 a 256.
Font: opennet.ru