izdanje HTTP poslužitelja Apache 2.4.43 (izdanje 2.4.42 je propušteno), u kojem je predstavljeno i ispravljenih :
- CVE-2020-1927: ranjivost u mod_rewrite, koja omogućava korištenje poslužitelja za preusmjeravanje zahtjeva na druge resurse (open redirect). Neka podešavanja mod_rewrite mogu dovesti do preusmjeravanja korisnika na drugu vezu, kodiranu korištenjem znaka novog reda unutar parametra koji se koristi u postojećem preusmjeravanju.
- CVE-2020-1934: ranjivost u mod_proxy_ftp. Korištenje neinicijaliziranih vrijednosti može dovesti do curenja sadržaja memorije prilikom proksiranja zahtjeva prema FTP poslužitelju, pod kontrolom napadača.
- Curjenje memorije u mod_ssl, koje se javlja prilikom spajanja OCSP zahtjeva.
Najistaknutije promjene, koje nisu vezane uz sigurnost:
- Dodani novi modul , koji omogućava integraciju sa sistemskim upraviteljem systemd. Modul omogućava korištenje httpd u uslugama tipa „Type=notify“.
- U apxs je dodana podrška za korištenje crossover kompilacije.
- Proširene mogućnosti modula mod_md, kojeg je razvio projekt Let’s Encrypt za automatizaciju dobivanja i održavanja certifikata koristeći ACME protokol (Automatic Certificate Management Environment):
- Dodana direktiva MDContactEmail, koja omogućava navođenje kontaktnog emaila, koji se ne preklapa s podacima iz direktive ServerAdmin.
- Za sve virtualne poslužitelje osigurana je provjera podrške protokola koji se koristi prilikom pregovora o zaštićenom komunikacijskom kanalu („tls-alpn-01“).
- Dozvoljeno je korištenje direktiva mod_md unutar blokova i .
- Osigurana je zamjena prethodnih postavki prilikom ponovnog korištenja MDCAChallenges.
- Dodana je mogućnost postavljanja url za CTLog Monitor.
- Za određene u direktivi MDMessageCmd, osiguran je poziv s argumentom „installed“ prilikom aktivacije novog certifikata nakon ponovnog pokretanja poslužitelja (npr. može se koristiti za kopiranje ili konverziju novog certifikata za druge aplikacije).
- mod_proxy_hcheck dodana je podrška za masku %{Content-Type} u provjerama izraza.
- U mod_usertrack dodani su načini CookieSameSite, CookieHTTPOnly i CookieSecure za podešavanje obrade Cookie usertrack.
- U mod_proxy_ajp za proxy obrtnike implementiran je parametar „secret“ za podršku zastarjelom protokolu autentifikacije AJP13.
- Dodana je konfiguracijska postavka za OpenWRT.
- U mod_ssl dodana je podrška za korištenje privatnih ključeva i certifikata iz OpenSSL ENGINE putem navođenja URI PKCS#11 u SSLCertificateFile/KeyFile.
- Implementirano je testiranje pomoću sustava za neprekidnu integraciju Travis CI.
- Pojačan je parsiranje zaglavlja Transfer-Encoding.
- U mod_ssl osigurano je usklađivanje TLS protokola vezano uz virtualne hostove (podržano uz kompilaciju s OpenSSL-1.1.1+).
- Primjenom hashiranja za tabele naredbi ubrzan je ponovni pokretanje u 'graceful' režimu (bez prekida izvršavanja obrada zahtjeva).
- U mod_lua dodane su tabele r:headers_in_table, r:headers_out_table, r:err_headers_out_table, r:notes_table i r:subprocess_env_table, dostupne u režimu samo za čitanje. Dopustite dodjeljivanje vrijednosti 'nil' tim tabelama.
- U mod_authn_socache povećan je limit na veličinu keširane niza sa 100 na 256.
Izvor: opennet.ru
