Megjelent az Apache HTTP Server 2.4.66, amelyben 5 sebezhetőséget orvosoltak és számos módosítást hajtottak végre.
A kijavított sebezhetőségek (az első 2 közepes, a többi alacsony kockázatú):
- CVE-2025-66200 — CGI-szkript más felhasználó alatt történő indítása a mod_userdir és suexec beállítású konfigurációkban a 'RequestHeader' direktíva manipulálásával a .htaccess fájlban (ha annak használata engedélyezett).
- CVE-2025-59775 — SSRF (Server-Side Request Forgery) sebezhetőség, amely NTLM-hash kiszivárgását okozza egy másik szerverre, amikor az Apache httpd Windows platformon fut, az 'AllowEncodedSlashes On' és 'MergeSlashes Off' beállításokkal.
- CVE-2025-65082 — környezeti változók felülírása CGI-szkriptekhez helytelen vezérlő karakterek escape-elése miatt (a beállításokban lévő változók felülírhatják a számított változók értékeit szerverrel CGI számára).
- CVE-2025-58098 — escaped query string átadása SSI (Server Side Includes) direktívának '<!—#exec cmd=…—>' mod_cgid helyett mod_cgi beállítású konfigurációkban.
- CVE-2025-55753 — folyamatos (késleltetés nélküli) megújító ACME kérések küldése a mod_md modulban, a lejárt tanúsítvány frissítési kísérletének nagy száma után.
A biztonsággal nem kapcsolatos fejlesztések között:
- A mod_md modul ACME protokolljának megvalósítása frissítve lett 2.6.6 verzióra:
- Hozzáadva az ARI (ACME Renewal Information) protokoll kiterjesztés támogatása, amely lehetővé teszi a tanúsítványok megújításának szükségességére vonatkozó információk megszerzését és az optimális megújítás időpontjának kiválasztását. Az ARI engedélyezéséhez a 'MDRenewViaARI on|off' direktíva javasolt.
- Bevezetve egy 'MDInitialDelay' direktíva a tanúsítvány ellenőrzésének késlelékeként a szerver újraindítása után.
- A MDRetryDelay paraméter alapértelmezett értéke 30 másodpercre növelve a hiba utáni újrapróbálkozás késleltetésénél.
- A támogatás leállítva VPN- Tailscale hálózaton belül.
- Kijavították a hibákat és memória szivárgást.
- A mod_http2 modul frissítve lett 2.0.35 verzióra, amelyben megjelent a 'H2MaxStreamErrors' direktíva a folyamati hibák számának korlátozására, amelyet elérve a kapcsolat lezárásra kerül.
- A mod_http2-ben a mod_cache-től kapott 3-as kódú válaszok helyes kezelése.
- A mod_proxy_http2-ben bevezetésre került a 'ProxyErrorOverride' direktíva a hibakódok felülírására.
- Az mpm_common modulhoz hozzáadva a „ListenTCPDeferAccept” direktíva, amely lehetővé teszi a TCP_DEFER_ACCEPT opció (aktiválás csak a socketre érkező adatok esetén) értékének beállítását a figyelő socket számára.
- A mod_ssl modulhoz hozzáadva a „SSLVHostSNIPolicy” direktíva a virtuális hosztok kompatibilitási szabályainak beállításához.
Forrás: opennet.ru
