Utgivelsen av http-serveren Apache 2.4.66 med løsning på 5 sårbarheter

Apache HTTP Server 2.4.66 er lansert, med utbedring av 5 sårbarheter og flere titalls endringer.

Sårbarhetene som er utbedret (de to første har moderat faregrad, mens de andre har lav):

• CVE-2025-66200 — tillatelse til å kjøre CGI-skript under en annen bruker i konfigurasjoner med mod_userdir og suexec ved manipulering av direktivet «RequestHeader» i .htaccess-filen (hvis dens bruk i .htaccess er tillatt).
• CVE-2025-59775 — SSRF-sårbarhet (Server-Side Request Forgery), som fører til lekkasje av NTLM-hash til en annen server når Apache httpd brukes på Windows, i konfigurasjoner med innstillingene «AllowEncodedSlashes On» og «MergeSlashes Off».
• CVE-2025-65082 — omdefinering av miljøvariabler for CGI-skript på grunn av feilaktig escaping av kontrolltegn (setting av variabler i innstillingene kan omdefinere verdiene til variablene som er beregnet serveren for CGI).
• CVE-2025-58098 — sending av escaped forespørselstreng til SSI (Server Side Includes) direktivet «» i konfigurasjoner med mod_cgid i stedet for mod_cgi.
• CVE-2025-55753 — sending av kontinuerlige (uten forsinkelse mellom forespørslene) gjentatte ACME-forespørselen for sertifikatoppdatering i mod_md etter mange feil ved forsøk på å oppdatere et utgått sertifikat.

Blant ikke-sikkerhetsrelaterte forbedringer:

• Modulen mod_md med implementering av ACME-protokollen er oppdatert til versjon 2.6.6:
  • Støtte for protokollen ARI (ACME Renewal Information) er lagt til, som muliggjør innhenting av informasjon om behovet for sertifikatoppdateringer og valg av optimal tid for oppdatering. For å aktivere ARI foreslås direktivet «MDRenewViaARI on|off».
  • Direktivet «MDInitialDelay» er implementert for å sette en forsinkelse på sertifikatkontroll etter serverstart.
  • Standardverdien for parameteren MDRetryDelay (forsinkelse før ny forsøk etter feil) er økt til 30 sekunder.
  • Støtte for VPN- Tailscale-nettverket er avsluttet.
  • Feil og minnelekkasjer er rettet.
• Modulen mod_http2 er oppdatert til versjon 2.0.35, hvor direktivet «H2MaxStreamErrors» er lagt til for å angi et grense for antall feil i strømmen, etter å ha nådd som forbindelsen vil bli stengt.
• Korrekt behandling av svar med kode 3 fra mod_cache er blitt implementert i mod_http2.
• I mod_proxy_http2 er direktivet «ProxyErrorOverride» implementert for å overstyre feilkoder.
• I mpm_common er det lagt til en direktiv «ListenTCPDeferAccept», som lar deg sette verdien av TCP_DEFER_ACCEPT (aktivering kun ved innkommende data på sokkelen) for den lyttende sokkelen.
• I mod_ssl er det lagt til en direktiv «SSLVHostSNIPolicy» for å konfigurere kompatibilitetsregler for virtuelle verter.

Kilde: opennet.ru