Publicēts HTTP servera Apache 2.4.64 laidums, kurā novērstas 8 drošības ievainojamības un veiktas 19 izmaiņas.
Novērstās ievainojamības (pirmās 4 ir ar mērenu draudu līmeni, bet pārējās ar zemu):
- CVE-2024-42516 — iespēja veikt HTTP atbilžu sadalīšanas uzbrukumu frontend-backend sistēmās, kas ļauj sasniegt Content-Type virsmas satura šķelšanu atbildē, lai iejauktos citu lietotāju atbilžu saturā, kuras tiek apstrādātas tajā pašā plūsmā starp frontend un backend.
- CVE-2024-43394 — Windows platformai specifiska SSRF (Server-Side Request Forgery) ievainojamība, kas, nosūtot īpaši sagatavotus pieprasījumus, var novest pie NTLM hešu noplūdes. servera, kontrolētiem uzbrucēju.
- CVE-2025-53020 — atteikšanās no pakalpojuma caur HTTP/2, kas izraisa pārspīlētu atmiņas patēriņu.
- CVE-2025-49812 — ievainojamība mod_ssl, kas ļauj uzbrucējam, kurš kontrolē trasi (MITM), veikt HTTP sesijas aizvietošanu, iejaucoties pārejā no HTTP uz HTTPS.
- CVE-2025-23048 — piekļuves ierobežojumu apgriešana mod_ssl, atjaunojot pārtrauktu sesiju.
- CVE-2025-49630 — atteikšanās no pakalpojuma, kas noved pie mod_proxy_http2 moduļa avārijas.
- CVE-2024-47252 — nepareiza simbolu izvēršana kļūdu informācijā mod_ssl, kas tiek ierakstīta žurnālā.
- CVE-2024-43204 — SSRF ievainojamība mod_headers, kas ļauj mod_proxy nosūtīt iznākuma pieprasījumu uz adresi, ko norādījis uzbrucējs.
Starptautiskos ar drošību nesaistītos uzlabojumos:
- Mod_systemd ir pievienota atbalsts darbības aktivizācijai caur socket.
- Moduļa mod_http2 pievienota direktīva H2MaxHeaderBlockLen, lai ierobežotu HTTP galvenes lielumu atbildē.
- Mod_http2 ir nodrošināta informācijas par HTTP/2 pieprasījumu ilgumu ierakstīšana.
- Modulis mod_md ir pievienoti direktīvas DProfile un MDProfileMandatory, lai atbalstītu ACME protokola paplašinājumus, kas īsteno sertifikātu profilus.
Avots: opennet.lv
