Foi apresentado o lançamento do servidor HTTP Apache 2.4.66, que corrige 5 vulnerabilidades e introduz várias dezenas de alterações.
Vulnerabilidades corrigidas (as duas primeiras têm um nível de gravidade moderado, e as demais são de baixo risco):
- CVE-2025-66200 — organização da execução de scripts CGI com outro usuário em configurações com mod_userdir e suexec mediante manipulação da diretiva "RequestHeader" no arquivo .htaccess (se o seu uso no .htaccess for permitido).
- CVE-2025-59775 — vulnerabilidade SSRF (Server-Side Request Forgery), que leva ao vazamento de hash NTLM para outro servidor ao usar Apache httpd na plataforma Windows em configurações com as definições "AllowEncodedSlashes On" e "MergeSlashes Off".
- CVE-2025-65082 — redefinição de variáveis de ambiente para scripts CGI devido à escapagem inadequada de caracteres de controle (definir variáveis nas configurações pode sobrescrever valores calculados servidor para CGI).
- CVE-2025-58098 — passagem de string de consulta escapada na diretiva SSI (Server Side Includes) "" em configurações com mod_cgid em vez de mod_cgi.
- CVE-2025-55753 — envio contínuo (sem atraso entre as solicitações) de solicitações ACME repetidas para atualização de certificado no módulo mod_md após várias falhas ao tentar atualizar um certificado expirado.
Entre as melhorias não relacionadas à segurança:
- O módulo mod_md com implementação do protocolo ACME foi atualizado para a versão 2.6.6:
- Foi adicionada a suporte à extensão do protocolo ARI (ACME Renewal Information), permitindo obter informações sobre a necessidade de renovar certificados e escolher o melhor momento para a renovação. Para ativar o ARI, foi proposta a diretiva "MDRenewViaARI on|off".
- Foi implementada a diretiva "MDInitialDelay" para definir um atraso na verificação do certificado após o reinício do servidor.
- O valor padrão do parâmetro MDRetryDelay (atraso antes da nova tentativa após erro) foi aumentado para até 30 segundos.
- O suporte para VPN-a rede Tailscale foi descontinuado.
- Correções de bugs e vazamentos de memória foram realizadas.
- O módulo mod_http2 foi atualizado para a versão 2.0.35, que introduziu a diretiva "H2MaxStreamErrors" para definir um limite no número de erros em um fluxo, após o qual a conexão será encerrada.
- No mod_http2, foi aprimorado o tratamento correto das respostas com código 3 do mod_cache.
- Na mod_proxy_http2, foi implementada a diretiva "ProxyErrorOverride" para sobrepor códigos de erro.
- No mpm_common foi adicionada a diretiva "ListenTCPDeferAccept", através da qual é possível definir o valor da opção TCP_DEFER_ACCEPT (ativação somente ao receber dados no socket) para o socket de escuta.
- No mod_ssl foi adicionada a diretiva "SSLVHostSNIPolicy" para configurar regras de compatibilidade para hosts virtuais.
Fonte: opennet.ru
