Objavljen je HTTP server Apache 2.4.66, u kojem je otklonjeno 5 ranjivosti i izvršeno nekoliko desetaka izmjena.
Otklonjene ranjivosti (prve 2 imaju umjeren nivo opasnosti, dok su ostale niske):
- CVE-2025-66200 — pokretanje CGI skripta pod drugim korisnikom u konfiguracijama s mod_userdir i suexec kroz manipulaciju direktivom „RequestHeader“ u .htaccess datoteci (ako je korištenje .htaccess dozvoljeno).
- CVE-2025-59775 — SSRF ranjivost (Server-Side Request Forgery), koja dovodi do curenja NTLM hash-a na drugi server prilikom korišćenja Apache httpd na Windows platformi u konfiguracijama s postavkama „AllowEncodedSlashes On“ i „MergeSlashes Off“.
- CVE-2025-65082 — preklapanje varijabli okruženja za CGI skripte zbog neispravnog eskapiranja kontrolnih znakova (postavljanje varijabli u konfiguraciji može preklopiti vrijednosti varijabli, izračunatih serverom za CGI).
- CVE-2025-58098 — prosljeđivanje eskapirane string upita u SSI (Server Side Includes) direktivu „“ u konfiguracijama s mod_cgid umjesto mod_cgi.
- CVE-2025-55753 — slanje kontinuiranih (bez kašnjenja između zahtjeva) ponovljenih ACME zahtjeva za ažuriranje certifikata u modulu mod_md nakon velikog broja neuspjeha prilikom pokušaja ažuriranja istekao certifikat.
Među poboljšanjima koja nisu povezana s sigurnošću:
- Modul mod_md sa implementacijom ACME protokola ažuriran je na verziju 2.6.6:
- Dodana je podrška za proširenje protokola ARI (ACME Renewal Information), koje omogućava dobijanje informacija o potrebi ažuriranja certifikata i odabir optimalnog vremena za ažuriranje. Za uključivanje ARI predložena je direktiva „MDRenewViaARI on|off“.
- Implementirana je direktiva „MDInitialDelay“ za postavljanje kašnjenja provjere certifikata nakon ponovnog pokretanja servera.
- Vrijednost po defaultu parametra MDRetryDelay (kašnjenje prije ponovnog pokušaja nakon greške) povećana je na 30 sekundi.
- Prestaće podrška za VPN-mreže Tailscale.
- Ispravljene su greške i curenje memorije.
- Modul mod_http2 ažuriran je na verziju 2.0.35, koja uvodi direktivu „H2MaxStreamErrors“ za postavljanje limita broja grešaka u toku, nakon čega će se veza zatvoriti.
- U mod_http2 ispravljeno je pravilno obrađivanje odgovora s kodom 3 iz mod_cache.
- U mod_proxy_http2 implementirana je direktiva „ProxyErrorOverride“ za preklapanje kodova grešaka.
- U mpm_common dodana je direktiva „ListenTCPDeferAccept“, preko koje se može postaviti vrijednost opcije TCP_DEFER_ACCEPT (aktiviranje samo prilikom dolaska podataka na soket) za slušajući soket.
- U mod_ssl dodana je direktiva „SSLVHostSNIPolicy“ za postavljanje pravila kompatibilnosti za virtualne hostove.
Izvor: opennet.ru
