Objavljen je izdanje HTTP poslužitelja Apache 2.4.48 (izdanje 2.4.47 je propušteno), koje sadrži 39 izmjena i ispravlja 8 ranjivosti:
- CVE-2021-30641 — pogrešno aktiviranje sekcije u načinu 'MergeSlashes OFF';
- CVE-2020-35452 — prelivanje stoga sa jednim nul byte-om u mod_auth_digest;
- CVE-2021-31618, CVE-2020-26691, CVE-2020-26690, CVE-2020-13950 — dereferenciranje NULL pokazivača u mod_http2, mod_session i mod_proxy_http;
- CVE-2020-13938 — mogućnost zaustavljanja httpd procesa od strane privilegiranog korisnika u Windows-u;
- CVE-2019-17567 — problemi sa usklađivanjem protokola u mod_proxy_wstunnel i mod_proxy_http.
Najistaknutije promjene, koje nisu vezane uz sigurnost:
- U mod_proxy_wstunnel je dodana postavka ProxyWebsocketFallbackToProxyHttp za isključivanje prebacivanja na korištenje mod_proxy_http za WebSocket.
- U osnovni poslužiteljski API uključene su povezane sa SSL funkcijama, koje su sada dostupne bez modula mod_ssl (na primjer, omogućavaju modulu mod_md da pruža ključeve i certifikate).
- Obrada OCSP (Online Certificate Status Protocol) odgovora je premještena iz mod_ssl/mod_md u osnovni dio, što omogućava drugim modulima pristup podacima OCSP i generiranje OCSP odgovora.
- U mod_md je omogućena upotreba maski u direktivi MDomains, poput 'MDomain *.host.net'. U direktivi MDPrivateKeys dozvoljeno je navođenje različitih tipova ključeva, na primjer 'MDPrivateKeys secp384r1 rsa2048' omogućava korištenje ECDSA i RSA certifikata. Omogućena je podrška za zastarjeli protokol ACMEv1.
- U mod_lua je dodana podrška za Lua 5.4.
- Ažurirana je verzija modula mod_http2. Poboljšano je upravljanje greškama. Dodana je opcija 'H2OutputBuffering on/off' za upravljanje međuspremanjem izlaza (zadano uključeno).
- U mod_dav u direktivi FileETag implementiran je način 'Digest' za generiranje ETag-a na temelju hash-a sadržaja datoteke.
- U mod_proxy je omogućeno ograničenje primjene ProxyErrorOverride posebnim kodovima stanja.
- Implementirane su nove direktive ReadBufferSize, FlushMaxThreshold i FlushMaxPipelined.
- U mod_rewrite implementirana je obrada atributa SameSite prilikom parsiranja zastave [CO] (cookie) u direktivi RewriteRule.
- U mod_proxy je dodan hook check_trans za odbijanje zahtjeva u ranoj fazi.
Izvor: opennet.ru
