Utgivning av HTTP-servern Apache 2.4.48

Release av HTTP-servern Apache 2.4.48 har publicerats (utgivningen av 2.4.47 uteslöts), som innehåller 39 ändringar och åtgärdar 8 sårbarheter:

• CVE-2021-30641 — felaktig ovanliggande av sektionen när 'MergeSlashes OFF' är aktiverat;
• CVE-2020-35452 — stacköverflöd med en nollbyte i mod_auth_digest;
• CVE-2021-31618, CVE-2020-26691, CVE-2020-26690, CVE-2020-13950 — dereferensering av NULL-pekar i mod_http2, mod_session och mod_proxy_http;
• CVE-2020-13938 — möjlighet för en icke-privilegierad användare att stoppa httpd-processen i Windows;
• CVE-2019-17567 — problem med protokollöverenskommelse i mod_proxy_wstunnel och mod_proxy_http.

De mest märkbara förändringarna, orelaterade till säkerhet:

• En inställning ProxyWebsocketFallbackToProxyHttp har lagts till i mod_proxy_wstunnel för att inaktivera övergången till användning av mod_proxy_http för WebSocket.
• Relaterade funktioner har lagts till i huvudserverns API, SSL som nu är tillgängliga utan modulen mod_ssl (t.ex. möjliggör att modulen mod_md ger nycklar och certifikat).
• Behandling av OCSP-svar (Online Certificate Status Protocol) har flyttats från mod_ssl/mod_md till kärnan, vilket möjliggör att andra moduler kan komma åt OCSP-data och skapa OCSP-svar.
• Masker är nu tillåtna i direktivet MDomains i mod_md, till exempel "MDomain *.host.net". I direktivet MDPrivateKeys tillåts angivande av olika typer av nycklar, till exempel "MDPrivateKeys secp384r1 rsa2048" möjliggör användning av ECDSA- och RSA-certifikat. Support för den föråldrade ACMEv1-protokoll har tillhandahållits.
• Stöd för Lua 5.4 har lagts till i mod_lua.
• Versionen av modulen mod_http2 har uppdaterats. Felhantering har förbättrats. En inställning ‘H2OutputBuffering on/off’ har lagts till för att hantera utgångsbuffring (aktiverad som standard).
• I mod_dav har direktivet FileETag fått ett ‘Digest’-läge för att generera ETag baserat på hashen av filens innehåll.
• I mod_proxy har det blivit tillåtet att begränsa tillämpningen av ProxyErrorOverride till specifika statuskoder.
• Nya direktiv ReadBufferSize, FlushMaxThreshold och FlushMaxPipelined har implementerats.
• I mod_rewrite har stöd för attributet SameSite implementerats vid analysen av flaggan [CO] (cookie) i direktivet RewriteRule.
• En check_trans-hook har lagts till i mod_proxy för att avvisa förfrågningar i ett tidigt skede.

Källa: opennet.ru