Predstavljen je izdanak HTTP servera Apache 2.4.64, koji ispravlja 8 ranjivosti i donosi 19 promena.
Ispravljene ranjivosti (prve 4 imaju umereni nivo opasnosti, dok su ostale niske):
- CVE-2024-42516 — mogućnost napada preko deljenja HTTP odgovora na sistemima front-end backend, koja omogućava razdvajanje sadržaja zaglavlja Content-Type u odgovoru, kako bi se infiltrirali u sadržaj odgovora drugih korisnika, obrađivanih u istom toku između front-enda i back-enda.
- CVE-2024-43394 — ranjivost specifična za platformu Windows SSRF (Server-Side Request Forgery), koja može dovesti do curenja NTLM heševa prilikom slanja posebno formatiranih zahteva na strežnik, pod kontrolom napadača.
- CVE-2025-53020 — usluga dostupnosti putem HTTP/2, koja dovodi do prekomernog korišćenja memorije.
- CVE-2025-49812 — ranjivost u mod_ssl-u, koja omogućava napadaču, koji kontroliše saobraćaj (MITM), da izvrši zamenu HTTP sesije, infiltrirajući se u trenutku prelaska sa HTTP na HTTPS.
- CVE-2025-23048 — zaobilaženje restrikcija pristupa u mod_ssl-u prilikom oporavka prekinute sesije.
- CVE-2025-49630 — usluga dostupnosti, koja dovodi do neuspešnog rada modula mod_proxy_http2.
- CVE-2024-47252 — nepravilno escaping karaktera u informacijama o greškama mod_ssl-a, zapisanih u log.
- CVE-2024-43204 — SSRF ranjivost u mod_headers, koja omogućava da mod_proxy šalje izlazni zahtev na adresu koju navodi napadač.
Među poboljšanjima koja nisu povezana sa bezbednošću:
- U mod_systemd dodata je podrška za aktivaciju putem soketa.
- U mod_http2 dodat je direktiva H2MaxHeaderBlockLen za ograničenje veličine HTTP zaglavlja prilikom odgovora.
- U mod_http2 omogućeno je beleženje informacija o trajanju HTTP/2 zahteva.
- U mod_md dodate su direktive DProfile i MDProfileMandatory za podršku proširenju protokola ACME, koji implementira profile sertifikata.
Izvor: opennet.ru
