Foi lançado o Apache HTTP Server 2.4.48 (a versão 2.4.47 foi pulada), que apresenta 39 mudanças e corrige 8 vulnerabilidades:
- CVE-2021-30641 — acionamento incorreto da seção no modo ‘MergeSlashes OFF’;
- CVE-2020-35452 — estouro de pilha por um byte nulo no mod_auth_digest;
- CVE-2021-31618, CVE-2020-26691, CVE-2020-26690, CVE-2020-13950 — desreferenciações de ponteiro NULL no mod_http2, mod_session e mod_proxy_http;
- CVE-2020-13938 — possibilidade de um usuário não privilegiado interromper o processo httpd no Windows;
- CVE-2019-17567 — problemas de negociação de protocolos no mod_proxy_wstunnel e mod_proxy_http.
As modificações mais notáveis, não relacionadas à segurança:
- No mod_proxy_wstunnel foi adicionada a configuração ProxyWebsocketFallbackToProxyHttp para desativar a transição para o uso do mod_proxy_http para WebSocket.
- Na API do servidor principal foram incluídas funções relacionadas a SSL que agora estão disponíveis sem o módulo mod_ssl (por exemplo, permitindo que o módulo mod_md forneça chaves e certificados).
- O tratamento de respostas OCSP (Online Certificate Status Protocol) foi transferido do mod_ssl/mod_md para a parte base, permitindo que outros módulos acessem os dados OCSP e formem respostas OCSP.
- No mod_md foi permitido o uso de máscaras na diretiva MDomains, por exemplo, 'MDomain *.host.net'. Na diretiva MDPrivateKeys foi permitida a especificação de diferentes tipos de chaves, por exemplo, 'MDPrivateKeys secp384r1 rsa2048' permite o uso de certificados ECDSA e RSA. Suporte foi dado ao protocolo obsoleto ACMEv1.
- No mod_lua foi adicionado suporte ao Lua 5.4.
- A versão do módulo mod_http2 foi atualizada. O tratamento de erros foi melhorado. Foi adicionada a opção ‘H2OutputBuffering on/off’ para controle de buffer de saída (habilitado por padrão).
- No mod_dav, na diretiva FileETag, foi implementado o modo ‘Digest’ para gerar ETag com base no hash do conteúdo do arquivo.
- No mod_proxy foi permitido limitar a aplicação do ProxyErrorOverride a códigos de estado específicos.
- Novas diretivas ReadBufferSize, FlushMaxThreshold e FlushMaxPipelined foram implementadas.
- No mod_rewrite foi implementado o tratamento do atributo SameSite ao analisar a flag [CO] (cookie) na diretiva RewriteRule.
- No mod_proxy foi adicionado um hook check_trans para rejeitar solicitações em um estágio inicial.
Fonte: opennet.ru
