È stata presentata la versione 2.4.64 del server HTTP Apache, che risolve 8 vulnerabilità e apporta 19 modifiche.
Vulnerabilità risolte (le prime 4 hanno un livello di rischio moderato, mentre le altre sono considerate basse):
- CVE-2024-42516 — vulnerabilità che consente di eseguire un attacco di divisione delle risposte HTTP nei sistemi front-end-back-end, consentendo di ottenere la fratturazione del contenuto dell'intestazione Content-Type nella risposta per infiltrarsi nel contenuto delle risposte di altri utenti, elaborate nello stesso flusso tra il front-end e il back-end.
- CVE-2024-43394 — vulnerabilità specifica per la piattaforma Windows SSRF (Server-Side Request Forgery), che, durante l'invio di richieste appositamente formattate, può portare a una fuoriuscita degli hash NTLM su server, controllato dagli aggressori.
- CVE-2025-53020 — denial of service tramite HTTP/2, che porta a un consumo eccessivo di memoria.
- CVE-2025-49812 — vulnerabilità in mod_ssl che consente a un attaccante, controllando il traffico (MITM), di eseguire una sostituzione della sessione HTTP, infiltrandosi al momento del passaggio da HTTP a HTTPS.
- CVE-2025-23048 — bypass delle restrizioni di accesso in mod_ssl durante il recupero di una sessione interrotta.
- CVE-2025-49630 — denial of service che porta alla chiusura anomala del modulo mod_proxy_http2.
- CVE-2024-47252 — errata escape dei caratteri nelle informazioni sugli errori di mod_ssl registrate nel log.
- CVE-2024-43204 — vulnerabilità SSRF in mod_headers, che consente di inviare una richiesta in uscita tramite mod_proxy all'indirizzo indicato dall'attaccante.
Tra i miglioramenti non legati alla sicurezza:
- In mod_systemd è stata aggiunta la supporto per l'attivazione tramite socket.
- Nel modulo mod_http2 è stata aggiunta la direttiva H2MaxHeaderBlockLen per limitare la dimensione delle intestazioni HTTP nella risposta.
- Nel modulo mod_http2 è stata garantita la registrazione delle informazioni sulla durata delle richieste HTTP/2.
- Nel modulo mod_md sono state aggiunte le direttive DProfile e MDProfileMandatory per supportare l'estensione del protocollo ACME, che realizza profili di certificati.
Fonte: opennet.ru
