Apache http-serveri versioon 2.4.64, mis kõrvaldab 8 haavatavust

Apache HTTP-serveri 2.4.64 väljalase, kus on kõrvaldatud 8 turvaprobleemi ja viidatud 19 muudatusele.

Küsimused, mis on kõrvaldatud (esimesed 4 on mõõdukalt ohtlikud, ülejäänud madala tähistusega):

• CVE-2024-42516 — rünne, mis võimaldab jagada HTTP vastuseid front-end ja back-end süsteemides, mille kaudu on võimalik saavutada Content-Type päise sisu jagamine vastustes, et sekkuda teiste kasutajate võrgustiku vastustesse, mis töötlevad sama voogu front-endilt back-endile.
• CVE-2024-43394 — Windowsi platvormile spetsiifiline SSRF (Server-Side Request Forgery) haavatavus, mis saates spetsiaalselt kujundatud päringud saab põhjustada NTLM räsi leket server, mis on ründajate kontrolli all.
• CVE-2025-53020 — teenuse osutamise katkestus HTTP/2 kaudu, mis viib liigsesse mälu kasutamisse.
• CVE-2025-49812 — haavatavus mod_ssl-is, mis võimaldab ründajal, kes kontrollib liiklust (MITM), häkida HTTP-seanssi, segades vahetuse HTTP-lt HTTPS-ile.
• CVE-2025-23048 — juurdepääsu piirangute ümbersuunamine mod_ssl-is katkestatud seansi taastamisel.
• CVE-2025-49630 — teenuse katkestamine, mis viib mod_proxy_http2 mooduli ootamatule sulgemisele.
• CVE-2024-47252 — vale sümbolite põgenemine mod_ssl-i veateabe logimisel.
• CVE-2024-43204 — SSRF-haavatavus mod_headers-is, mis võimaldab mod_proxy-l saata väliste päringute aadressidel nagu ründaja on määranud.

Turvaga mitteseotud täiustuste hulgas:

• mod_systemd-s on lisatud sokli aktiveerimise tugi.
• mod_http2 moodulisse on lisatud H2MaxHeaderBlockLen direktiiv, et piirata HTTP-päiste suurust vastuse ajal.
• mod_http2-s on võimaldatud HTTP/2 päringute kestuse teabe logimine.
• mod_md moodulisse on lisatud DProfile ja MDProfileMandatory direktiivid ACME protokolli laiendamine toetamiseks, mis realiseerib sertifikaatide profiile.

Allikas: opennet.ru