Megjelent az Apache HTTP-szerver 2.4.48-as kiadása (a 2.4.47-es kiadás kimaradt), amely 39 módosítást és 8 sebezhetőséget tartalmaz:
- CVE-2021-30641 — helytelen működés a <Location> szekcióban a ‘MergeSlashes OFF’ módban;
- CVE-2020-35452 — egy nullás bájt okozta verem túlcsordulás a mod_auth_digest-ben;
- CVE-2021-31618, CVE-2020-26691, CVE-2020-26690, CVE-2020-13950 — NULL pointer dereferenciák a mod_http2, mod_session és mod_proxy_http modulokban;
- CVE-2020-13938 — egy nem adminisztrátor által történő httpd folyamat leállításhoz való lehetőség Windows alatt;
- CVE-2019-17567 — protokoll egyeztetési problémák a mod_proxy_wstunnel és mod_proxy_http modulokban.
A legszembetűnőbb nem biztonsági jellegű változások:
- A mod_proxy_wstunnel-ben hozzáadva a ProxyWebsocketFallbackToProxyHttp beállítás a mod_proxy_http-ra való átváltás letiltására WebSocket esetén.
- A fő szerver API-ja kapcsolódó SSL funkciókat tartalmaz, amelyek most már elérhetők mod_ssl modul nélkül (például lehetővé teszi a mod_md modul számára a kulcsok és tanúsítványok biztosítását).
- Az OCSP (Online Certificate Status Protocol) válaszok feldolgozása átkonvertálva a mod_ssl/mod_md-ből az alap rendszerbe, lehetővé téve más modulok számára az OCSP adatokhoz való hozzáférést és OCSP válaszok generálását.
- A mod_md-ben megengedett a maszkok használata az MDomains direktívában, például „MDomain *.host.net”. Az MDPrivateKeys direktívában különböző típusú kulcsok megadására van lehetőség, például „MDPrivateKeys secp384r1 rsa2048” ECDSA és RSA tanúsítványok használatát teszi lehetővé. Támogatást kapott az elavult ACMEv1 protokoll.
- A mod_lua-ban támogatást adtak a Lua 5.4-hez.
- A mod_http2 modul verziója frissítve lett. A hibakezelés javítva van. Hozzáadva egy 'H2OutputBuffering on/off' opció az kimeneti pufferezés vezérléséhez (alapértelmezetten engedélyezve).
- A mod_dav-ban a FileETag direktívában implementálva lett a 'Digest' mód az ETag generálására a fájl tartalmának hashe alapján.
- A mod_proxy-ban lehetővé vált a ProxyErrorOverride alkalmazásának korlátozása különböző állapotkódokra.
- Új direktívák valósultak meg: ReadBufferSize, FlushMaxThreshold és FlushMaxPipelined.
- A mod_rewrite modulban implementálva lett a SameSite attribútum kezelése a [CO] (cookie) zászló elemzésekor a RewriteRule direktívában.
- A mod_proxy-ban hozzáadva a check_trans hook a kérések korai elutasításához.
Forrás: opennet.ru
