Bol zhromaždená nová verzia HTTP servera Apache 2.4.64, v ktorej bolo odstránených 8 zraniteľností a vykonaných 19 zmien.
Odstránené zraniteľnosti (prvé 4 majú strednú úroveň nebezpečenstva, ostatné sú nízke):
- CVE-2024-42516 — možnosť vykonania útoku prostredníctvom rozdelenia HTTP odpovedí na front-end a back-end systémoch, čo umožňuje rozdelenie obsahu hlavičky Content-Type v odpovedi, aby sa vniklo do obsahu odpovedí iných používateľov, ktoré sa spracovávajú v tom istom vlákne medzi front-endom a back-endom.
- CVE-2024-43394 — platforme Windows špecifická zraniteľnosť SSRF (Server-Side Request Forgery), ktorá pri zasielaní špeciálne upravených požiadaviek môže viesť k úniku NTLM hashov na server, pod kontrolou útočníka.
- CVE-2025-53020 — odmietnutie služby cez HTTP/2, vedúce k nadmernému spotrebovaniu pamäte.
- CVE-2025-49812 — zraniteľnosť v mod_ssl, ktorá umožňuje útočníkovi, kontrolujúcemu sieťový prenos (MITM), vykonať substitúciu HTTP relácie a vniknúť v momente prechodu z HTTP na HTTPS.
- CVE-2025-23048 — obídenie obmedzení prístupu v mod_ssl pri obnove prerušených relácií.
- CVE-2025-49630 — odmietnutie služby, vedúce k neočakávanému ukončeniu modulu mod_proxy_http2.
- CVE-2024-47252 — nesprávne úniky znakov v chybových hláseniach mod_ssl, zapisovaných do logu.
- CVE-2024-43204 — SSRF zraniteľnosť v mod_headers, ktorá umožňuje dosiahnuť, aby mod_proxy poslal odchádzajúcu požiadavku na adresu určenú útočníkom.
Medzi nezabezpečovacími vylepšeniami:
- Do mod_systemd bola pridaná podpora aktivácie cez soket.
- Do modulu mod_http2 bola pridaná direktíva H2MaxHeaderBlockLen na obmedzenie veľkosti HTTP hlavičiek pri odpovedi.
- V mod_http2 bola zabezpečená zápis informácií o trvaní HTTP/2 požiadaviek.
- Do modulu mod_md boli pridané direktívy DProfile a MDProfileMandatory na podporu rozšírenia protokolu ACME, ktoré implementuje profily certifikátov.
Zdroj: opennet.ru
