Utgivningen av http-servern Apache 2.4.64 med lösning av 8 sårbarheter

Apache HTTP-serverversion 2.4.64 har lanserats, som åtgärdar 8 sårbarheter och innehåller 19 ändringar.

Åtgärdade sårbarheter (de första 4 har måttlig risknivå och de övriga är lågrisk):

• CVE-2024-42516 — möjlighet till en attack som utnyttjar svaren för HTTP i frontend-backend-system, vilket möjliggör uppsplittring av innehållet i Content-Type-headern i svaret, vilket kan leda till att information från andra användares svar inkorporeras i samma flöde mellan frontend och backend.
• CVE-2024-43394 — en plattforms specifik Windows sårbarhet för SSRF (Server-Side Request Forgery), som vid skickandet av speciellt utformade förfrågningar kan leda till läckage av NTLM-hashar till server, kontrollerad av angripare.
• CVE-2025-53020 — överbelastning av tjänsten via HTTP/2, vilket leder till överdriven minnesanvändning.
• CVE-2025-49812 — sårbarhet i mod_ssl som tillåter en angripare som kontrollerar trafiken (MITM) att ersätta HTTP-sessioner genom att tränga sig in i övergången från HTTP till HTTPS.
• CVE-2025-23048 — kringgående av åtkomstbegränsningar i mod_ssl vid återställande av avbrutna sessioner.
• CVE-2025-49630 — överbelastning av tjänsten som orsakar att modulen mod_proxy_http2 kraschar.
• CVE-2024-47252 — felaktig escapering av tecken i felinformation från mod_ssl som registreras i loggen.
• CVE-2024-43204 — SSRF-sårbarhet i mod_headers, vilket möjliggör att mod_proxy skickar utgående förfrågningar till adresser angivna av angriparen.

Bland de icke-säkerhetsrelaterade förbättringarna:

• I mod_systemd har stöd för aktivering via socket lagts till.
• Modulen mod_http2 har fått direktivet H2MaxHeaderBlockLen för att begränsa storleken på HTTP-headerna i svaret.
• I mod_http2 har registrering av förfrågningars varaktighet för HTTP/2 införts.
• Modulen mod_md har fått direktiven DProfile och MDProfileMandatory för att stödja ACME-protokollets utvidgning som implementerar certifikatprofiler.

Källa: opennet.ru