Uvedenie verzie HTTP servera Apache 2.4.66, ktorá opravuje 5 zraniteľností

Predstavená verzia HTTP servera Apache 2.4.66, v ktorej bolo opravených 5 zraniteľností a vykonaných niekoľko desiatok zmien.

Opravené zraniteľnosti (prvé 2 majú strednú úroveň nebezpečenstva, ostatné sú nízke):

• CVE-2025-66200 — nesprávne vykonanie CGI skriptu pod iným používateľom v konfiguráciách s mod_userdir a suexec prostredníctvom manipulácie s direktívou „RequestHeader“ v súbore .htaccess (ak je jeho použitie v .htaccess povolené).
• CVE-2025-59775 — zraniteľnosť SSRF (Server-Side Request Forgery), ktorá vedie k úniku NTLM hash na iný server pri použití Apache httpd na platforme Windows v konfiguráciách so nastaveniami „AllowEncodedSlashes On“ a „MergeSlashes Off“.
• CVE-2025-65082 — prepisovanie premenných prostredia pre CGI skripty spôsobené nesprávnym escapovaním riadiacich znakov (nastavenie premenných môže prepísť hodnoty premenných vyhodnotených serverom pre CGI).
• CVE-2025-58098 — predávanie escapovaného reťazca požiadavky do SSI (Server Side Includes) direktívy „“ v konfiguráciách s mod_cgid namiesto mod_cgi.
• CVE-2025-55753 — posielanie kontinuálnych (bez oneskorenia medzi požiadavkami) opakovaných ACME požiadaviek na aktualizáciu certifikátu v module mod_md po veľkom počte neuspešných pokusov o aktualizáciu premlčaného certifikátu.

Medzi nezabezpečovacími vylepšeniami:

• Modul mod_md s implementáciou protokolu ACME bol aktualizovaný na verziu 2.6.6:
  • Pridaná podpora rozšírenia protokolu ARI (ACME Renewal Information), ktoré umožňuje získavanie informácií o potrebe aktualizácie certifikátov a výbere optimálneho času pre aktualizáciu. Na povolenie ARI bola navrhnutá direktíva „MDRenewViaARI on|off.“
  • Implementovaná direktíva „MDInitialDelay“ na nastavenie oneskorenia kontroly certifikátu po reštarte servera.
  • Na 30 sekúnd bolo zvýšené predvolené nastavenie parametra MDRetryDelay (oneskorenie pred ďalším pokusom po chybe).
  • Podpora bola ukončená VPN-pre sieť Tailscale.
  • Opravené chyby a úniky pamäte.
• Modul mod_http2 bol aktualizovaný na verziu 2.0.35, v ktorej bola pridaná direktíva „H2MaxStreamErrors“ na nastavenie limitu počtu chýb v prúde, po dosiahnutí ktorého bude spojenie uzatvorené.
• V mod_http2 bola implementovaná správna správa odpovedí s kódom 3 od mod_cache.
• V mod_proxy_http2 bola implementovaná direktíva „ProxyErrorOverride“ na prepisovanie chybových kódov.
• V mpm_common bola pridaná direktíva „ListenTCPDeferAccept“, pomocou ktorej je možné nastaviť hodnotu možnosti TCP_DEFER_ACCEPT (aktivácia iba pri príchode dát na socket) pre počúvajúci socket.
• V mod_ssl bola pridaná direktíva „SSLVHostSNIPolicy“ na nastavenie pravidiel kompatibility pre virtuálne hosty.

Zdroj: opennet.ru