È stato presentato il rilascio del server HTTP Apache 2.4.64, che risolve 8 vulnerabilità e introduce 19 modifiche.
Vulnerabilità risolte (le prime 4 presentano un livello di pericolo moderato, mentre le altre sono di basso livello):
- CVE-2024-42516 — possibilità di attacco di risposta HTTP divisa su sistemi frontend-backend, che consente di ottenere la divisione del contenuto dell'intestazione Content-Type nella risposta, per infiltrarsi nel contenuto delle risposte di altri utenti trattati nello stesso flusso tra frontend e backend.
- CVE-2024-43394 — vulnerabilità SSRF (Server-Side Request Forgery) specifica per la piattaforma Windows, che, inviando richieste appositamente formattate, può portare alla fuga di hash NTLM su un server, controllato dagli aggressori.
- CVE-2025-53020 — denial of service attraverso HTTP/2, che porta a un consumo eccessivo di memoria.
- CVE-2025-49812 — vulnerabilità in mod_ssl, che consente a un attaccante in grado di controllare il traffico (MITM) di effettuare una sostituzione della sessione HTTP, infiltrandosi nel momento del passaggio da HTTP a HTTPS.
- CVE-2025-23048 — bypass delle restrizioni di accesso in mod_ssl durante il recupero di una sessione interrotta.
- CVE-2025-49630 — attacco DoS che porta al crash del modulo mod_proxy_http2.
- CVE-2024-47252 — errata escape dei caratteri nei messaggi di errore di mod_ssl registrati nel log.
- CVE-2024-43204 — vulnerabilità SSRF in mod_headers che consente a mod_proxy di inviare una richiesta in uscita all'indirizzo specificato dall'attaccante.
Tra i miglioramenti non legati alla sicurezza:
- In mod_systemd è stata aggiunta la supporto per l'attivazione tramite socket.
- Nel modulo mod_http2 è stata aggiunta la direttiva H2MaxHeaderBlockLen per limitare la dimensione degli header HTTP nelle risposte.
- In mod_http2 è stata abilitata la registrazione della durata delle richieste HTTP/2.
- Nel modulo mod_md sono state aggiunte le direttive DProfile e MDProfileMandatory per supportare l'estensione del protocollo ACME, implementando i profili dei certificati.
Fonte: opennet.ru
