Esitletud on HTTP-serveri Apache 2.4.64 väljalase, kus on parandatud 8 haavatavust ja tehtud 19 muudatust.
Parandatud haavatavused (esimesed 4 on mõõduka ohu tasemega, teised on madala tasemega):
- CVE-2024-42516 — võimalus ründamiseks, kasutades HTTP vastuste eraldamise rünnakut front-end ja back-end süsteemides, mis võimaldab saavutada Content-Type päise sisu jagunemist vastuses, et tungida teistele kasutajatele suunatud vastuste sisusse, mis töödeldakse samas voos front-endi ja back-endi vahel.
- CVE-2024-43394 — Windows platvormile spetsiifiline SSRF (Server-Side Request Forgery) haavatavus, mis võib spetsiaalselt vormindatud päringute saatmise korral põhjustada NTLM-hashide lekke server, mis on ründajate kontrolli all.
- CVE-2025-53020 — teenuse katkestamine HTTP/2 kaudu, mis viib mälukulu ülemäärasele tarbimisele.
- CVE-2025-49812 — haavatavus mod_ssl-is, mis võimaldab ründajal, kes kontrollib liiklust (MITM), teha HTTP-seansi sisestamise, tungides sisse hetkel, kui toimub üleminek HTTP-lt HTTPS-ile.
- CVE-2025-23048 — mod_ssl-i juurdepääsupiirangute ümbersuunamine katkestatud seansi taastamisel.
- CVE-2025-49630 — teeninduse katkestamine, mis põhjustab mod_proxy_http2 mooduli ootamatu seiskumise.
- CVE-2024-47252 — vale sümbolite põgenemine mod_ssl vigade teabes, mis salvestatakse logisse.
- CVE-2024-43204 — SSRF-olek mod_headers moodulis, mis võimaldab mod_proxy kaudu sihtaatkaja määratud aadressile välisnõude edastamist.
Turvalisusega mitteseotud täiustuste seas:
- Mod_systemd-s on lisatud socket'i aktiveerimise tugi.
- Mod_http2-s on lisatud H2MaxHeaderBlockLen direktiiv HTTP-pealkirjade suuruse piiramiseks vastustes.
- Mod_http2-s on tagatud teabe salvestamine HTTP/2 päringute kestusest.
- Mod_md moodulis on lisatud DProfile ja MDProfileMandatory direktiivid ACME protokolli laiendamise toetamiseks, mis rakendab sertifikaatide profiile.
Allikas: opennet.ru
