Objavljen je HTTP poslužitelj Apache 2.4.64, u kojem su ispravljene 8 ranjivosti i izvršene 19 izmjena.
Ispravljene ranjivosti (prvih 4 imaju umjerenu razinu opasnosti, a ostale nisku):
- CVE-2024-42516 — mogućnost izvođenja napada razdvajanjem HTTP odgovora na front-end back-end sustavima, što omogućava podjelu sadržaja zaglavlja Content-Type u odgovoru, kako bi se infiltrirali u sadržaj odgovora drugih korisnika obrađivanih u istoj niti između front-enda i back-enda.
- CVE-2024-43394 — ranjivost specifična za Windows platformu SSRF (Server-Side Request Forgery), koja pri slanju posebno oblikovanih zahtjeva može dovesti do curenja NTLM hash-ova na server, pod nadzorom napadača.
- CVE-2025-53020 — DoS napad putem HTTP/2, što dovodi do prekomjernog korištenja memorije.
- CVE-2025-49812 — ranjivost u mod_ssl, koja omogućava napadaču koji kontrolira promet (MITM) da izvrši zamjenu HTTP sesije, infiltrirajući se u trenutku prelaska s HTTP-a na HTTPS.
- CVE-2025-23048 — zaobilaženje ograničenja pristupa u mod_ssl prilikom vraćanja prekinute sesije.
- CVE-2025-49630 — DoS napad koji dovodi do iznenadnog rušenja modula mod_proxy_http2.
- CVE-2024-47252 — netočno izbjegavanje znakova u informacijama o greškama mod_ssl, zapisanim u zapisniku.
- CVE-2024-43204 — SSRF ranjivost u mod_headers, koja omogućava slanje odlaznog zahtjeva putem mod_proxy na adresu koju navodi napadač.
Među poboljšanjima koja nisu povezana s sigurnošću:
- U mod_systemd dodana je podrška za aktivaciju putem socketa.
- Modul mod_http2 dodana je direktiva H2MaxHeaderBlockLen za ograničavanje veličine HTTP zaglavlja u odgovoru.
- U mod_http2 osigurano je bilježenje informacija o trajanju HTTP/2 zahtjeva.
- Modul mod_md dodane su direktive DProfile i MDProfileMandatory za podršku proširenju protokola ACME, koja provodi profile certifikata.
Izvor: opennet.ru
