Apache 2.4.66 HTTP-serveri väljalaskmine, kus on kõrvaldatud 5 haavatavust

Avalikustatud Apache 2.4.66 HTTP-serveri väljalaskmine, milles on kõrvaldatud 5 haavatavust ning tehtud mitu tosinat muudatust.

Käivitatud haavatavused (esimesed 2 on mõõduka riskiga ja ülejäänud madala riskiga):

• CVE-2025-66200 — CGI-skripti käivitamise korraldamine teise kasutaja all mod_userdir ja suexec konfiguratsioonides manipuleerides direktiiviga "RequestHeader" .htaccess failis (kui selle kasutamine .htaccess-failis on lubatud).
• CVE-2025-59775 — SSRF-haavatavus (Server-Side Request Forgery), mis kutsub esile NTLM-i räsi leket teisele serverile, kui kasutatakse Apache httpd-d Windows platvormil seadeid "AllowEncodedSlashes On" ja "MergeSlashes Off".
• CVE-2025-65082 — keskkonnamuutujate ülekirjutamine CGI-skripte jaoks vale kontrollmärkide põgenemise tõttu (muutujate seadistamine võib ülekirjutada väärtused, mis on arvutatud serverilt CGI jaoks).
• CVE-2025-58098 — põgenenud päringuahela edastamine SSI (Server Side Includes) direktiivi "<!—#exec cmd=…—>" konfiguratsioonides mod_cgid asemel mod_cgi.
• CVE-2025-55753 — vahetu (ilma viivitusteta päringutes) korduv ACME-sertifikaadi uuendamise päringute saatmine mod_md moodulis pärast suurt arvu ebaõnnestumisi aegunud sertifikaadi uuendamiseks.

Turvaga mitteseotud täiustuste hulgas:

• mod_md moodul ACME protokolli rakendusega on värskendatud versioonini 2.6.6:
  • Lisatud tugi protokolli ARI (ACME Renewal Information) laiendusele, mis võimaldab saada teavet sertifikaatide uuendamise vajaduse kohta ja valida optimaalse aja uuendamiseks. ARI sisselülitamiseks on ette nähtud direktiiv "MDRenewViaARI on|off".
  • Rakendatud direktiiv "MDInitialDelay" sertifikaadi kontrollimise viivituse seadmiseks pärast serveri taaskäivitamist.
  • MDRetryDelay (viivitus pärast viga) vaikeväärtust on suurendatud kuni 30 sekundini.
  • Tugi on lõpetatud VPN- Tailscale võrgule.
  • Parandatud vead ja mälu leke.
• mod_http2 moodul on värskendatud versioonini 2.0.35, kus on esmakordselt rakendatud direktiiv "H2MaxStreamErrors" voogude veaparameetrile piiri seadmiseks, mille ületamisel ühendus suletakse.
• mod_http2-s on parandatud staatuste 3 vastuste korrektne käsitlemine mod_cache-st.
• mod_proxy_http2-s on rakendatud direktiiv "ProxyErrorOverride" vigade staatuste ülekirjutamiseks.
• mpm_common lisatakse direktiiv «ListenTCPDeferAccept», mille kaudu saab määrata TCP_DEFER_ACCEPT valiku väärtuse (aktiivne ainult andmete saabumisel soketile) kuulava soketi jaoks.
• mod_ssl lisatakse direktiiv «SSLVHostSNIPolicy» virtuaalhostide ühilduvuse reeglite seadistamiseks.

Allikas: opennet.ru