Megjelent az Apache HTTP-szerver 2.4.64-es verziója, amelyben 8 sérülékenységet javítottak ki és 19 változtatás történt.
Javított sérülékenységek (az első 4 közepes veszéllyel bíró, a többi alacsony):
- CVE-2024-42516 — HTTP válaszok szeparálására irányuló támadás lehetősége front-end és back-end rendszerekben, amely lehetővé teszi a Content-Type fejléceinek tartalmának felosztását a válaszban, hogy más felhasználók válaszainak tartalmába beilleszkedjen, amelyeket ugyanabban a szálban dolgoznak fel a front-end és a back-end között.
- CVE-2024-43394 — A Windows platformra jellemző SSRF (Server-Side Request Forgery) sérülékenység, amely a speciálisan megformázott kérés küldése során NTLM hash-ek kiszivárgását okozhatja. szerver, amelyet a támadó irányít.
- CVE-2025-53020 — HTTP/2 teljesítménycsökkenést okozó támadás, amely a memória túlzott fogyasztásához vezet.
- CVE-2025-49812 — A mod_ssl sérülékenysége, amely lehetővé teszi a támadó számára, aki a forgalmat irányítja (MITM), hogy HTTP-session helyettesítést hajtson végre, bepillantva a HTTP-ről HTTPS-re történő átmenet során.
- CVE-2025-23048 — A mod_ssl hozzáférési korlátozások megkerülése megszakított session helyreállításakor.
- CVE-2025-49630 — Szolgáltatásmegtagadás, amely a mod_proxy_http2 modul összeomlásához vezet.
- CVE-2024-47252 — Hibás karakterek escape-elése a mod_ssl hibainformációiban, amely a naplóba kerül.
- CVE-2024-43204 — SSRF sérülékenység a mod_headers-ben, amely lehetővé teszi a mod_proxy számára, hogy kimenő kérést indítson a támadó által megadott címre.
A biztonsággal nem kapcsolatos fejlesztések között:
- A mod_systemd-ben hozzáadva a socket-alapú aktiválás támogatása.
- A mod_http2 modulban hozzáadva a H2MaxHeaderBlockLen direktíva, amely korlátozza a HTTP-fejlécek méretét a válasz során.
- A mod_http2 modulban naplózva a HTTP/2 kérések tartama.
- A mod_md modulban hozzáadva a DProfile és MDProfileMandatory direktívák, amely az ACME protokoll kiterjesztésének támogatásához szükséges, megvalósítva a tanúsítványprofilokat.
Forrás: opennet.ru
