Udgivelsen af HTTP-serveren Apache 2.4.48 er offentliggjort (udgivelsen 2.4.47 blev sprunget over), som præsenterer 39 ændringer og løser 8 sårbarheder:
- CVE-2021-30641 — forkert aktivering af sektionen i 'MergeSlashes OFF' tilstand;
- CVE-2020-35452 — stak-overløb ved én nul byte i mod_auth_digest;
- CVE-2021-31618, CVE-2020-26691, CVE-2020-26690, CVE-2020-13950 — dereferencer af NULL-pegepinde i mod_http2, mod_session og mod_proxy_http;
- CVE-2020-13938 — mulighed for at stoppe httpd-processen af en ikke-privilegeret bruger i Windows;
- CVE-2019-17567 — protokol-matching problemer i mod_proxy_wstunnel og mod_proxy_http.
De mest markante ændringer, der ikke vedrører sikkerhed:
- I mod_proxy_wstunnel er der tilføjet en indstilling ProxyWebsocketFallbackToProxyHttp for at deaktivere overgangen til at bruge mod_proxy_http for WebSocket.
- I hovedserver-API'en er der inkluderet funktioner relateret til SSL funktionaliteter, der nu er tilgængelige uden modulet mod_ssl (for eksempel tillader det modulet mod_md at levere nøgler og certifikater).
- Behandlingen af OCSP (Online Certificate Status Protocol) svar er flyttet fra mod_ssl/mod_md til kernefunktionen, så andre moduler kan tilgå OCSP-data og danne OCSP-svar.
- I mod_md er brugen af masker i direktivet MDomains tilladt, f.eks. 'MDomain *.host.net'. I direktivet MDPrivateKeys er det muligt at angive forskellige typer nøgler, for eksempel 'MDPrivateKeys secp384r1 rsa2048' tillader brug af ECDSA- og RSA-certifikater. Der er givet støtte til det forældede protokol ACMEv1.
- I mod_lua er der tilføjet support for Lua 5.4.
- Versionen af modulet mod_http2 er opdateret. Forbedret fejlhåndtering. Der er tilføjet en mulighed 'H2OutputBuffering on/off' til styring af output-buffering (som standard aktiveret).
- I mod_dav er der implementeret en 'Digest' tilstand for at generere ETag baseret på hash fra filens indhold i direktivet FileETag.
- I mod_proxy er der tilladt begrænsning af anvendelsen af ProxyErrorOverride til specifikke statuskoder.
- Der er implementeret nye direktiver ReadBufferSize, FlushMaxThreshold og FlushMaxPipelined.
- I mod_rewrite er der implementeret håndtering af SameSite-attributten ved parsing af flaget [CO] (cookie) i direktivet RewriteRule.
- I mod_proxy er der tilføjet et hook check_trans til at afvise forespørgsler på et tidligt stadie.
Kilde: opennet.ru
