Објавено е објавувањето на серверот Apache HTTP 2.4.48 (изданието 2.4.47 беше прескокнато), кој воведува 39 промени и елиминира 8 пропусти:
- CVE-2021-30641 - дефект на делот во режимот „MergeSlashes OFF“;
- CVE-2020-35452 - Прелевање на оџак од еден нула бајти во mod_auth_digest;
- CVE-2021-31618, CVE-2020-26691, CVE-2020-26690, CVE-2020-13950 - NULL дереференци на покажувачот во mod_http2, mod_session и mod_proxy_http;
- CVE-2020-13938 - Можност за запирање на процесот httpd од непривилегиран корисник на Windows;
- CVE-2019-17567 - Проблеми со преговорите за протокол во mod_proxy_wstunnel и mod_proxy_http.
Најзабележителни небезбедни промени се:
- Додадено е поставката ProxyWebsocketFallbackToProxyHttp на mod_proxy_wstunnel за да се оневозможи преминот кон користење mod_proxy_http за WebSocket.
- Основниот API на серверот вклучува функции поврзани со SSL кои сега се достапни без модулот mod_ssl (на пример, дозволувајќи му на модулот mod_md да обезбедува клучеви и сертификати).
- Обработката на одговорите на OCSP (Online Certificate Status Protocol) е преместена од mod_ssl/mod_md во основниот дел, што им овозможува на другите модули да пристапат до податоците на OCSP и да генерираат OCSP одговори.
- mod_md дозволува употреба на маски во директивата MDomains, на пример, „MDomain *.host.net“. Директивата MDPrivateKeys дозволува одредување на различни типови на клучеви, на пример „MDPrivateKeys secp384r1 rsa2048“ дозволува користење на ECDSA и RSA сертификати. Обезбедена е поддршка за наследениот протокол ACMEv1.
- Додадена е поддршка за Lua 5.4 на mod_lua.
- Ажурирана верзија на модулот mod_http2. Подобрено справување со грешки. Додадена е опцијата „Вклучување/исклучување на H2OutputBuffering“ за контрола на баферирањето на излезот (стандардно овозможено).
- Директивата mod_dav_FileETag го имплементира режимот „Digest“ за да генерира ETag врз основа на хаш од содржината на датотеката.
- mod_proxy ви овозможува да ја ограничите употребата на ProxyErrorOverride на одредени статусни кодови.
- Имплементирани се новите директиви ReadBufferSize, FlushMaxThreshold и FlushMaxPipelined.
- mod_rewrite имплементира обработка на атрибутот SameSite при парсирање на знамето [CO] (колаче) во директивата RewriteRule.
- Додадено е check_trans hook на mod_proxy за да се отфрлат барањата во рана фаза.
Извор: opennet.ru