Paskelbtas Apache HTTP serverio 2.4.48 leidimas (2.4.47 leidimas buvo praleistas), kuriame pateikiami 39 pakeitimai ir pašalinamos 8 spragos:
- CVE-2021-30641 – netinkamas skyriaus veikimas režimu „MergeSlashes OFF“;
- CVE-2020-35452 – vieno nulinio baito krūvos perpildymas mod_auth_digest;
- CVE-2021-31618, CVE-2020-26691, CVE-2020-26690, CVE-2020-13950 – NULL rodyklės nuorodos mod_http2, mod_session ir mod_proxy_http;
- CVE-2020-13938 – galimybė sustabdyti httpd procesą neprivilegijuotam vartotojui sistemoje Windows;
- CVE-2019-17567 – Protokolo derybų problemos mod_proxy_wstunnel ir mod_proxy_http.
Ryškiausi su saugumu nesusiję pokyčiai:
- Prie mod_proxy_wstunnel pridėtas ProxyWebsocketFallbackToProxyHttp nustatymas, kad būtų išjungtas perėjimas prie mod_proxy_http naudojimo WebSocket.
- Pagrindinė serverio API apima su SSL susijusias funkcijas, kurios dabar pasiekiamos be mod_ssl modulio (pavyzdžiui, leidžiant moduliui mod_md pateikti raktus ir sertifikatus).
- OCSP (Online Certificate Status Protocol) atsakymų apdorojimas buvo perkeltas iš mod_ssl/mod_md į bazinę dalį, kuri leidžia kitiems moduliams pasiekti OCSP duomenis ir generuoti OCSP atsakymus.
- mod_md leidžia naudoti kaukes direktyvoje MDomains, pavyzdžiui, "MDomain *.host.net". MDPrivateKeys direktyva leidžia nurodyti skirtingus raktų tipus, pavyzdžiui, „MDPrivateKeys secp384r1 rsa2048“ leidžia naudoti ECDSA ir RSA sertifikatus. Suteiktas senojo ACMEv1 protokolo palaikymas.
- Prie mod_lua pridėtas Lua 5.4 palaikymas.
- Atnaujinta mod_http2 modulio versija. Patobulintas klaidų valdymas. Pridėta parinktis „H2OutputBuffering on/off“, kad būtų galima valdyti išvesties buferį (įjungta pagal numatytuosius nustatymus).
- Mod_dav_FileETag direktyva įgyvendina „Digest“ režimą, kad sugeneruotų ETag pagal failo turinio maišą.
- mod_proxy leidžia apriboti ProxyErrorOverride naudojimą iki tam tikrų būsenos kodų.
- Įdiegtos naujos direktyvos ReadBufferSize, FlushMaxThreshold ir FlushMaxPipelined.
- mod_rewrite įgyvendina atributo SameSite apdorojimą, kai analizuojama [CO] (slapuko) vėliavėlė RewriteRule direktyvoje.
- Prie mod_proxy pridėtas check_trans kabliukas, kad būtų atmestos užklausos ankstyvoje stadijoje.
Šaltinis: opennet.ru