liberazione di u servitore HTTP Apache 2.4.43 (a versione 2.4.42 hè stata saltata), chì hà introduttu è eliminata :
- CVE-2020-1927: una vulnerabilità in mod_rewrite chì permette à u servitore esse usatu per rinvià e dumande à altre risorse (redirezzione aperta). Certi paràmetri di mod_rewrite ponu esse rimbursati l'utilizatori à un altru ligame, codificati cù un caratteru di novu linea in un paràmetru utilizatu in una redirezzione esistente.
- CVE-2020-1934: vulnerabilità in mod_proxy_ftp. L'usu di valori micca inizializzati pò purtà à fughe di memoria quandu proxy richieste à un servitore FTP cuntrullatu da l'attaccante.
- Fuga di memoria in mod_ssl chì si trova quandu incatenate e richieste OCSP.
I cambiamenti più notevuli non-security:
- Un novu modulu aghjuntu , chì furnisce integrazione cù u gestore di sistema systemd. U modulu permette di utilizà httpd in servizii cù u tipu "Tipu = notify".
- U supportu di compilazione incruciata hè statu aghjuntu à apxs.
- E capacità di u modulu mod_md, sviluppatu da u prughjettu Let's Encrypt per automatizà a ricezione è u mantenimentu di certificati utilizendu u protocolu ACME (Automatic Certificate Management Environment), sò stati allargati:
- Aggiunta a direttiva MCDontactEmail, per mezu di quale pudete specificà un email di cuntattu chì ùn si sovrappone micca cù e dati da a direttiva ServerAdmin.
- Per tutti l'ospiti virtuali, u supportu per u protokollu utilizatu quandu si negozia un canale di cumunicazione sicuru ("tls-alpn-01") hè verificatu.
- Permette à e direttive mod_md esse usate in blocchi È .
- Assicura chì i paràmetri passati sò soprascritti quandu si riutilice MDCAChallenges.
- Aggiunta a capacità di cunfigurà l'url per CTLog Monitor.
- Per i cumandamenti definiti in a direttiva MDMessageCmd, una chjama cù l'argumentu "installatu" hè furnita quandu attivate un novu certificatu dopu un riavviu di u servitore (per esempiu, pò esse usatu per copià o cunvertisce un novu certificatu per altre applicazioni).
- mod_proxy_hcheck hà aghjustatu supportu per a maschera %{Content-Type} in l'espressioni di cuntrollu.
- I modi CookieSameSite, CookieHTTPOnly è CookieSecure sò stati aghjunti à mod_usertrack per cunfigurà u processu di cookie di usertrack.
- mod_proxy_ajp implementa una opzione "secreta" per i gestori di proxy per sustene u protokollu di autentificazione AJP13 legacy.
- Set di cunfigurazione aghjuntu per OpenWRT.
- Aghjunghje supportu à mod_ssl per l'usu di chjavi privati è certificati da OpenSSL ENGINE specificendu l'URI PKCS#11 in SSLCertificateFile/KeyFile.
- Testi implementati cù u sistema di integrazione cuntinua Travis CI.
- L'analisi di l'intestazione di Trasferimentu-Encoding hè stata stretta.
- mod_ssl furnisce a negoziazione di u protocolu TLS in relazione à l'ospiti virtuali (supportatu quandu hè custruitu cù OpenSSL-1.1.1+.
- Utilizendu l'hashing per i tavulini di cumanda, i riavvii in u modu "graziosu" sò accelerati (senza interrompe l'esecuzione di processori di query).
- Aggiunti tabelle di sola lettura r:headers_in_table, r:headers_out_table, r:err_headers_out_table, r:notes_table è r:subprocess_env_table à mod_lua. Permette à e tavule per esse attribuite u valore "nil".
- In mod_authn_socache u limitu di a dimensione di una linea in cache hè statu aumentatu da 100 à 256.
Source: opennet.ru