Udgivelsen af HTTP-serveren Apache 2.4.66 er præsenteret, hvor 5 sårbarheder er rettet, og adskillige ændringer er blevet foretaget.
Rettede sårbarheder (de første 2 har moderat risiko, mens de øvrige er lav):
- CVE-2025-66200 — tillade kørsel af CGI-script som en anden bruger i konfigurationer med mod_userdir og suexec gennem manipulation af direktivet "RequestHeader" i .htaccess-filen (hvis brug i .htaccess er tilladt).
- CVE-2025-59775 — SSRF-sårbarhed (Server-Side Request Forgery), der fører til lækage af NTLM-hash til en anden server ved brug af Apache httpd på Windows-platformen i konfigurationer med indstillingerne "AllowEncodedSlashes On" og "MergeSlashes Off".
- CVE-2025-65082 — omdefinering af miljøvariabler for CGI-scripts på grund af forkert escaping af kontroltegn (sæt variabler i indstillingerne kan overskrive værdierne for de beregnede variabler serveren for CGI).
- CVE-2025-58098 — overførsel af escape-drevet forespørgselsstreng til SSI (Server Side Includes) direktivet "" i konfigurationer med mod_cgid i stedet for mod_cgi.
- CVE-2025-55753 — sending af vedholdende (uden forsinkelse mellem anmodninger) gentagne ACME-anmodninger om opdatering af certifikat i modulen mod_md efter et stort antal fejl ved forsøg på at opdatere et udløbet certifikat.
Blandt ikke-sikkerhedsrelaterede forbedringer:
- Modulet mod_md med implementering af ACME-protokollen er blevet opdateret til version 2.6.6:
- Support til protokoludvidelsen ARI (ACME Renewal Information) er blevet tilføjet, hvilket gør det muligt at modtage oplysninger om behovet for at opdatere certifikater og vælge det optimale tidspunkt for opdatering. For at aktivere ARI er der foreslået direktivet "MDRenewViaARI on|off".
- Direktivet "MDInitialDelay" er implementeret til at indstille en forsinkelse for certifikatkontrol efter servergenstart.
- Standardværdien for parameteren MDRetryDelay (forsinkelse før ny forsøg efter fejl) er blevet forøget til 30 sekunder.
- Supporten til VPN- Tailscale-netværket er blevet droppet.
- Fejl og hukommelseslækager er blevet rettet.
- Modulet mod_http2 er blevet opdateret til version 2.0.35, som introducerer direktivet "H2MaxStreamErrors" til at angive grænsen for antallet af fejl i strømmen, hvorefter forbindelsen lukkes.
- I mod_http2 er korrekt behandling af svar med kode 3 fra mod_cache blevet etableret.
- I mod_proxy_http2 er direktivet "ProxyErrorOverride" implementeret til at overskrive fejlkoder.
- I mpm_common er der tilføjet direktivet «ListenTCPDeferAccept», som giver mulighed for at indstille værdien af TCP_DEFER_ACCEPT muligheden (aktivering kun ved ankomst af data til socket) for den lyttende socket.
- I mod_ssl er der tilføjet direktivet «SSLVHostSNIPolicy» til konfiguration af kompatibilitetsregler for virtuelle værter.
Kilde: opennet.ru
