Byl vydán Apache HTTP server ve verzi 2.4.64, která opravila 8 zranitelností a přinesla 19 změn.
Opravené zranitelnosti (první 4 mají střední úroveň nebezpečnosti, ostatní nízkou):
- CVE-2024-42516 — možnost provádění útoků na dělení odpovědí HTTP na systémech front-end-back-end, což umožňuje rozdělení obsahu hlavičky Content-Type v odpovědi, aby se narušil obsah odpovědí jiných uživatelů zpracovávaných ve stejném vlákně mezi front-endem a back-endem.
- CVE-2024-43394 — zranitelnost specifická pro platformu Windows SSRF (Server-Side Request Forgery), která může při odesílání speciálně upravených požadavků vést k úniku NTLM hashů na server, ovládaný útočníky.
- CVE-2025-53020 — útok typu denial of service přes HTTP/2, který vede k nadměrné spotřebě paměti.
- CVE-2025-49812 — zranitelnost v mod_ssl, která útočníkovi, jenž kontroluje provoz (MITM), umožňuje provést substituci HTTP relace, když dochází k přechodu z HTTP na HTTPS.
- CVE-2025-23048 — obcházení přístupových omezení v mod_ssl při obnovování přerušené relace.
- CVE-2025-49630 — útok typu denial of service, vedoucí k havárii modulu mod_proxy_http2.
- CVE-2024-47252 — nesprávné escapování znaků v chybových hlášeních mod_ssl zapisovaných do protokolu.
- CVE-2024-43204 — zranitelnost SSRF v mod_headers, která umožňuje, aby mod_proxy odeslal odchozí požadavek na adresu uvedenou útočníkem.
Mezi nebezpečností nesouvisejícími vylepšeními:
- Byla přidána podpora aktivace na základě socketu v mod_systemd.
- Modul mod_http2 přidal direktivu H2MaxHeaderBlockLen pro omezení velikosti HTTP hlaviček při odpovědi.
- V mod_http2 byla zajištěna evidence informací o trvání HTTP/2 požadavků.
- Modul mod_md přidal direktivy DProfile a MDProfileMandatory pro podporu rozšíření protokolu ACME, implementujícího profily certifikátů.
Zdroj: opennet.ru
