Utgivelsen av http-serveren Apache 2.4.64, som retter opp 8 sikkerhetssårbarheter.

Apache HTTP-server 2.4.64 er lansert, som fikser 8 sårbarheter og gjør 19 endringer.

Fiksa sårbarheiter (dei første 4 har moderat alvorlighetsgrad, medan dei andre er låge):

• CVE-2024-42516 — mulighet for angrep gjennom HTTP-responsdeling på frontend-backend-systemer, som tillater splitting av Content-Type headerinnholdet i svaret for å infiltrere innholdet i responsene til andre brukarar som behandles i same strømm mellom frontend og backend.
• CVE-2024-43394 — en plattformspecifik Windows SSRF (Server-Side Request Forgery) sårbarhet, som ved sending av spesialutformede forespørselar kan føre til lekkasje av NTLM-hashar til server, under angrep.
• CVE-2025-53020 — tjenesteavbrudd via HTTP/2, som fører til overdreven minneforbruk.
• CVE-2025-49812 — en sårbarhet i mod_ssl, som lar en angriper som kontrollerer trafikken (MITM) erstatte HTTP-økten ved å infiltrere i overgangen fra HTTP til HTTPS.
• CVE-2025-23048 — omgåelse av tilgangsbegrensninger i mod_ssl ved gjenoppretting av avbrutte sesjoner.
• CVE-2025-49630 — tjenesteavbrudd som fører til krasj av mod_proxy_http2-modulen.
• CVE-2024-47252 — feilaktig escaping av tegn i feilmeldinger fra mod_ssl som logges.
• CVE-2024-43204 — SSRF-sårbarhet i mod_headers, som lar mod_proxy sende utgående forespørsel til en adresse angitt av angriperen.

Blant ikke-sikkerhetsrelaterte forbedringer:

• Mod_systemd har fått støtte for aktivering via socket.
• Modulen mod_http2 har fått direktivet H2MaxHeaderBlockLen for å begrense størrelsen på HTTP-headere ved respons.
• I mod_http2 er det sikra logging av varighet av HTTP/2-forespørselar.
• Modulen mod_md har fått direktivene DProfile og MDProfileMandatory for å støtte ACME-protokollens sertifikatprofiler.

Kilde: opennet.ru