Opublikowano wersję serwera Apache HTTP 2.4.48 (pominięto wersję 2.4.47), która wprowadza 39 zmian i eliminuje 8 luk:
- CVE-2021-30641 – przerwy w zapłonie sekcji w trybie „MergeSlashes OFF”;
- CVE-2020-35452 — Przepełnienie stosu pojedynczych bajtów zerowych w mod_auth_digest;
- CVE-2021-31618, CVE-2020-26691, CVE-2020-26690, CVE-2020-13950 - wyłuskiwania wskaźników NULL w mod_http2, mod_session i mod_proxy_http;
- CVE-2020-13938 - Możliwość zatrzymania procesu httpd przez nieuprzywilejowanego użytkownika w systemie Windows;
- CVE-2019-17567 — Problemy z negocjowaniem protokołów w mod_proxy_wstunnel i mod_proxy_http.
Najbardziej zauważalne zmiany niezwiązane z bezpieczeństwem:
- Dodano ustawienie ProxyWebsocketFallbackToProxyHttp do mod_proxy_wstunnel, aby wyłączyć przejście do używania mod_proxy_http dla protokołu WebSocket.
- Podstawowy interfejs API serwera zawiera funkcje związane z SSL, które są teraz dostępne bez modułu mod_ssl (na przykład umożliwiając modułowi mod_md dostarczanie kluczy i certyfikatów).
- Przetwarzanie odpowiedzi OCSP (Online Certyfikat Status Protocol) zostało przeniesione z mod_ssl/mod_md do części bazowej, która umożliwia innym modułom dostęp do danych OCSP i generowanie odpowiedzi OCSP.
- mod_md pozwala na użycie masek w dyrektywie MDomains, na przykład „MDomain *.host.net”. Dyrektywa MDPrivateKeys umożliwia określenie różnych typów kluczy, np. „MDPrivateKeys secp384r1 rsa2048” pozwala na użycie certyfikatów ECDSA i RSA. Zapewniono obsługę starszego protokołu ACMEv1.
- Dodano obsługę Lua 5.4 do mod_lua.
- Zaktualizowana wersja modułu mod_http2. Poprawiona obsługa błędów. Dodano opcję „H2OutputBuffering on/off” do kontrolowania buforowania wyjścia (domyślnie włączona).
- Dyrektywa mod_dav_FileETag implementuje tryb „Digest” w celu wygenerowania znacznika ETag na podstawie skrótu zawartości pliku.
- mod_proxy pozwala ograniczyć użycie ProxyErrorOverride do określonych kodów statusu.
- Zaimplementowano nowe dyrektywy ReadBufferSize, FlushMaxThreshold i FlushMaxPipelined.
- mod_rewrite implementuje przetwarzanie atrybutu SameSite podczas analizowania flagi [CO] (cookie) w dyrektywie RewriteRule.
- Dodano hak check_trans do mod_proxy, aby odrzucać żądania na wczesnym etapie.
Źródło: opennet.ru