La version 2.4.48 du serveur HTTP Apache a été publiée (la version 2.4.47 a été ignorée), qui introduit 39 modifications et élimine 8 vulnérabilités :
- CVE-2021-30641 - ratés d'allumage de section en mode 'MergeSlashes OFF' ;
- CVE-2020-35452 - Débordement de pile d'un seul octet nul dans mod_auth_digest ;
- CVE-2021-31618, CVE-2020-26691, CVE-2020-26690, CVE-2020-13950 - Déréférences de pointeurs NULL dans mod_http2, mod_session et mod_proxy_http ;
- CVE-2020-13938 - Possibilité d'arrêter le processus httpd par un utilisateur non privilégié sous Windows ;
- CVE-2019-17567 - Problèmes de négociation de protocole dans mod_proxy_wstunnel et mod_proxy_http.
Les changements non liés à la sécurité les plus notables :
- Ajout du paramètre ProxyWebsocketFallbackToProxyHttp à mod_proxy_wstunnel pour désactiver la transition vers l'utilisation de mod_proxy_http pour WebSocket.
- L'API du serveur principal inclut des fonctions liées à SSL qui sont désormais disponibles sans le module mod_ssl (par exemple, permettant au module mod_md de fournir des clés et des certificats).
- Le traitement des réponses OCSP (Online Certificate Status Protocol) a été déplacé de mod_ssl/mod_md vers la partie de base, ce qui permet à d'autres modules d'accéder aux données OCSP et de générer des réponses OCSP.
- mod_md permet l'utilisation de masques dans la directive MDomains, par exemple "MDomain *.host.net". La directive MDPrivateKeys permet de spécifier différents types de clés, par exemple « MDPrivateKeys secp384r1 rsa2048 » permet l'utilisation de certificats ECDSA et RSA. La prise en charge du protocole ACMEv1 existant a été fournie.
- Ajout du support de Lua 5.4 à mod_lua.
- Version mise à jour du module mod_http2. Gestion des erreurs améliorée. Ajout de l'option 'H2OutputBuffering on/off' pour contrôler la mise en mémoire tampon de sortie (activée par défaut).
- La directive mod_dav_FileETag implémente le mode « Digest » pour générer un ETag basé sur un hachage du contenu du fichier.
- mod_proxy vous permet de limiter l'utilisation de ProxyErrorOverride à des codes d'état spécifiques.
- De nouvelles directives ReadBufferSize, FlushMaxThreshold et FlushMaxPipelined ont été implémentées.
- mod_rewrite implémente le traitement de l'attribut SameSite lors de l'analyse de l'indicateur [CO] (cookie) dans la directive RewriteRule.
- Ajout du hook check_trans à mod_proxy pour rejeter les demandes à un stade précoce.
Source: opennet.ru