Byla uvedena verze HTTP serveru Apache 2.4.66, ve které bylo odstraněno 5 zranitelností a provedeno několik desítek změn.
Odstavené zranitelnosti (prvních 2 mají střední úroveň nebezpečí, ostatní jsou nízké):
- CVE-2025-66200 — spuštění CGI skriptu jako jiného uživatele v konfiguracích s mod_userdir a suexec prostřednictvím manipulace s direktivou „RequestHeader“ v souboru .htaccess (pokud je její použití v .htaccess povoleno).
- CVE-2025-59775 — zranitelnost SSRF (Server-Side Request Forgery), která vede k úniku NTLM hashe na jiný server při použití Apache httpd na platformě Windows v konfiguracích s nastavením „AllowEncodedSlashes On“ a „MergeSlashes Off“.
- CVE-2025-65082 — přepsání proměnných prostředí pro CGI skripty kvůli nesprávnému escapování ovládacích znaků (nastavení proměnných může přepsat hodnoty proměnných, které jsou počítány serverem pro CGI).
- CVE-2025-58098 — předání escapovaného dotazu do SSI (Server Side Includes) direktivy „“ v konfiguracích s mod_cgid místo mod_cgi.
- CVE-2025-55753 — odesílání kontinuálních (bez prodlevy mezi požadavky) opakovaných ACME žádostí o aktualizaci certifikátu v modulu mod_md po velkém počtu selhání při pokusu o aktualizaci prošlého certifikátu.
Mezi nebezpečností nesouvisejícími vylepšeními:
- Modul mod_md s implementací protokolu ACME byl aktualizován na verzi 2.6.6:
- Byla přidána podpora rozšíření protokolu ARI (ACME Renewal Information), které umožňuje získávat informace o potřebě aktualizace certifikátů a vybírat optimální čas pro aktualizaci. Pro zahrnutí ARI byla navržena direktiva „MDRenewViaARI on|off.“
- Byla zavedena direktiva „MDInitialDelay“ pro stanovení prodlevy kontroly certifikátu po restartu serveru.
- Hodnota výchozího parametru MDRetryDelay (prodleva před opakovaným pokusem po chybě) byla zvýšena na 30 sekund.
- Byla ukončena podpora VPN-sítě Tailscale.
- Byly opraveny chyby a únik paměti.
- Modul mod_http2 byl aktualizován na verzi 2.0.35, která zavádí direktivu „H2MaxStreamErrors“ pro nastavení limitu počtu chyb ve streamu, po dosažení kterého bude spojení uzavřeno.
- V mod_http2 byla zajištěna správná manipulace s odpověďmi s kódem 3 od mod_cache.
- V mod_proxy_http2 byla implementována direktiva „ProxyErrorOverride“ pro přepsání chybových kódů.
- V mpm_common byla přidána direktiva „ListenTCPDeferAccept“, pomocí které lze nastavit hodnotu volby TCP_DEFER_ACCEPT (aktivace pouze při příjmu dat na soket) pro naslouchající soket.
- Do mod_ssl byla přidána direktiva „SSLVHostSNIPolicy“ pro nastavení pravidel kompatibility pro virtuální hosty.
Zdroj: opennet.ru
