De release van de HTTP-server Apache 2.4.48 is gepubliceerd (release 2.4.47 werd overgeslagen), waarin 39 wijzigingen zijn aangebracht en 8 kwetsbaarheden zijn verholpen:
- CVE-2021-30641 — onjuiste activering van de sectie in de modus ‘MergeSlashes OFF’;
- CVE-2020-35452 — buffer overflow bij één nul-byte in mod_auth_digest;
- CVE-2021-31618, CVE-2020-26691, CVE-2020-26690, CVE-2020-13950 — dereferencing van een NULL-pointer in mod_http2, mod_session en mod_proxy_http;
- CVE-2020-13938 — mogelijkheid om het httpd-proces te stoppen door een niet-geprivilegieerde gebruiker in Windows;
- CVE-2019-17567 — problemen met protocolovereenstemming in mod_proxy_wstunnel en mod_proxy_http.
De meest opvallende wijzigingen die niet met beveiliging te maken hebben:
- In mod_proxy_wstunnel is een instelling ProxyWebsocketFallbackToProxyHttp toegevoegd om de overgang naar het gebruik van mod_proxy_http voor WebSocket uit te schakelen.
- In de hoofd server API zijn functies opgenomen die nu beschikbaar zijn zonder de mod_ssl-module (bijvoorbeeld, ze stellen de mod_md-module in staat om sleutels en certificaten te verstrekken). SSL De verwerking van OCSP-antwoorden (Online Certificate Status Protocol) is verplaatst van mod_ssl/mod_md naar de basis, zodat andere modules toegang hebben tot OCSP-gegevens en OCSP-antwoorden kunnen genereren.
- In mod_md is het gebruik van masks in de MDomains-directive toegestaan, bijvoorbeeld ‘MDomain *.host.net’. In de MDPrivateKeys-directive is het toegestaan om verschillende soorten sleutels op te geven, bijvoorbeeld ‘MDPrivateKeys secp384r1 rsa2048’ laat het gebruik van ECDSA- en RSA-certificaten toe. Er is ondersteuning voor het verouderde ACMEv1-protocol geïmplementeerd.
- In mod_lua is ondersteuning voor Lua 5.4 toegevoegd.
- De versie van de mod_http2-module is bijgewerkt. Verbeterde foutafhandeling. Een optie 'H2OutputBuffering on/off' is toegevoegd om de output-buffering te beheren (standaard ingeschakeld).
- In mod_dav is in de FileETag-directive de 'Digest'-modus geïmplementeerd voor het genereren van ETag op basis van de hash van de bestandsinhoud.
- In mod_proxy is het toegestaan om ProxyErrorOverride te beperken tot specifieke statuscodes.
- Nieuwe directives ReadBufferSize, FlushMaxThreshold en FlushMaxPipelined zijn geïmplementeerd.
- In mod_rewrite is de verwerking van de SameSite-attribuut bij het parseren van de [CO] (cookie) vlag in de RewriteRule-directive geïmplementeerd.
- In mod_proxy is een hook check_trans toegevoegd om verzoeken in een vroeg stadium af te wijzen.
- De release van de HTTP-server Apache 2.4.48 is gepubliceerd (release 2.4.47 werd overgeslagen), waarin 39 wijzigingen zijn aangebracht en 8 kwetsbaarheden zijn verholpen: CVE-2021-30641 - onjuiste activering van een sectie in.
Bron: opennet.ru
