vydání HTTP serveru Apache 2.4.43 (vydání 2.4.42 bylo vynecháno), ve kterém bylo představeno a odstraněno :
- CVE-2020-1927: zranitelnost v mod_rewrite, která umožňuje použít server k přesměrování požadavků na jiné zdroje (open redirect). Některá nastavení mod_rewrite mohou vést k přesměrování uživatelů na jiný odkaz kódovaný pomocí znaku nového řádku uvnitř parametru používaného v existujícím přesměrování.
- CVE-2020-1934: zranitelnost v mod_proxy_ftp. Použití neinicializovaných hodnot může vést k úniku obsahu paměti při proxyování požadavků na FTP server ovládaný útočníkem.
- Únik paměti v mod_ssl, vznikající při sestavování požadavků OCSP.
Nejvýznamnější změny, které nejsou spojeny s bezpečností:
- Přidán nový modul , který zajišťuje integraci se systémovým správcem systemd. Modul umožňuje používat httpd v službách typu „Type=notify“.
- Byla přidána podpora pro kros-kompilaci do apxs.
- Rozšířeny možnosti modulu mod_md, vyvinutého projektem Let’s Encrypt pro automatizaci získávání a správy certifikátů pomocí protokolu ACME (Automatic Certificate Management Environment):
- Byla přidána direktiva MDContactEmail, přes kterou lze uvést kontaktní email, který se nepřekrývá s daty z direktivy ServerAdmin.
- Pro všechny virtuální hostitele byla zajištěna kontrola podpory protokolu používaného při ověřování šifrované komunikace („tls-alpn-01“).
- Povoleno použití direktiv mod_md v blocích a .
- Zajištěna náhrada minulých nastavení při opětovném použití MDCAChallenges.
- Byla přidána možnost nastavení url pro CTLog Monitor.
- Pro určité příkazy uvedené v direktivě MDMessageCmd byl zajištěn volání s argumentem „installed“ při aktivaci nového certifikátu po restartu serveru (například lze použít pro kopírování nebo převod nového certifikátu do dalších aplikací).
- mod_proxy_hcheck přidána podpora masky %{Content-Type} ve zkušebních výrazích.
- V mod_usertrack byly přidány režimy CookieSameSite, CookieHTTPOnly a CookieSecure pro nastavení zpracování cookies usertrack.
- V mod_proxy_ajp byl pro proxy obslužné programy implementován parametr „secret“ pro podporu zastaralého protokolu autentizace AJP13.
- Byla přidána sada konfigurace pro OpenWRT.
- V mod_ssl byla přidána podpora pro používání uzavřených klíčů a certifikátů z OpenSSL ENGINE prostřednictvím zadání URI PKCS#11 v SSLCertificateFile/KeyFile.
- Bylo implementováno testování s využitím systému kontinuální integrace Travis CI.
- Bylo zpřísněno zpracování hlaviček Transfer-Encoding.
- V mod_ssl je zajištěno vyjednávání protokolu TLS vázaného na virtuální hosty (podporováno při sestavení s OpenSSL-1.1.1+).
- Díky použití hashování pro tabulky příkazů byl urychlen restart v režimu „graceful“ (bez přerušení probíhajících zpracovatelů požadavků).
- V mod_lua byly přidány tabulky r:headers_in_table, r:headers_out_table, r:err_headers_out_table, r:notes_table a r:subprocess_env_table, dostupné pouze pro čtení. Bylo povoleno přiřazení hodnoty „nil“ tabulkám.
- V mod_authn_socache byl limit pro velikost cacheované řádky zvýšen z 100 na 256.
Zdroj: opennet.ru
