Ang pagpagawas sa Apache HTTP server 2.4.48 gimantala (release 2.4.47 gilaktawan), nga nagpaila sa 39 ka kausaban ug nagwagtang sa 8 ka kahuyangan:
- CVE-2021-30641 - sayop nga sunog sa seksyon sa 'MergeSlashes OFF' mode;
- CVE-2020-35452 - Usa ka null byte stack nga nag-awas sa mod_auth_digest;
- CVE-2021-31618, CVE-2020-26691, CVE-2020-26690, CVE-2020-13950 - NULL pointer dereferences sa mod_http2, mod_session ug mod_proxy_http;
- CVE-2020-13938 - Posibilidad sa paghunong sa proseso sa httpd sa usa ka walay pribilehiyo nga tiggamit sa Windows;
- CVE-2019-17567 - Mga isyu sa negosasyon sa protocol sa mod_proxy_wstunnel ug mod_proxy_http.
Ang labing inila nga dili-seguridad nga mga pagbag-o mao ang:
- Gidugang ang setting sa ProxyWebsocketFallbackToProxyHttp sa mod_proxy_wstunnel aron ma-disable ang transisyon sa paggamit sa mod_proxy_http para sa WebSocket.
- Ang core server API naglakip sa SSL-related nga mga gimbuhaton nga anaa na karon nga walay mod_ssl module (pananglitan, pagtugot sa mod_md module sa paghatag og mga yawe ug mga sertipiko).
- Ang pagproseso sa mga tubag sa OCSP (Online Certificate Status Protocol) gibalhin gikan sa mod_ssl/mod_md ngadto sa base nga bahin, nga nagtugot sa ubang mga module nga maka-access sa datos sa OCSP ug makamugna og mga tubag sa OCSP.
- Gitugotan sa mod_md ang paggamit sa mga maskara sa direktiba sa MDomains, pananglitan, "MDomain *.host.net". Gitugotan sa direktiba sa MDPrivateKeys ang pagpiho sa lainlaing mga lahi sa mga yawe, pananglitan ang "MDPrivateKeys secp384r1 rsa2048" nagtugot sa paggamit sa mga sertipiko sa ECDSA ug RSA. Gihatag ang suporta alang sa legacy nga ACMEv1 protocol.
- Gidugang nga suporta alang sa Lua 5.4 sa mod_lua.
- Gi-update nga bersyon sa mod_http2 module. Mas maayo nga pagdumala sa sayop. Gidugang ang 'H2OutputBuffering on/off' nga opsyon aron makontrol ang output buffering (gi-enable sa default).
- Ang mod_dav_FileETag nga direktiba nagpatuman sa "Digest" mode aron makamugna og ETag base sa hash sa mga sulod sa file.
- Gitugotan ka sa mod_proxy nga limitahan ang paggamit sa ProxyErrorOverride sa piho nga mga code sa status.
- Bag-ong mga direktiba ReadBufferSize, FlushMaxThreshold ug FlushMaxPipelined gipatuman.
- Ang mod_rewrite nagpatuman sa pagproseso sa SameSite attribute sa dihang nag-parse sa [CO] (cookie) nga bandila sa RewriteRule nga direktiba.
- Gidugang ang check_trans hook sa mod_proxy aron isalikway ang mga hangyo sa sayo nga yugto.
Source: opennet.ru