Utgåvan av http-server Apache 2.4.66 med åtgärdande av 5 sårbarheter.

Utgivningen av HTTP-servern Apache 2.4.66 har presenterats, där fem sårbarheter har åtgärdats och flera dussin ändringar har gjorts.

Åtgärdade sårbarheter (de två första har måttlig risknivå, medan de övriga har låg):

• CVE-2025-66200 — att köra CGI-skript under en annan användare i konfigurationer med mod_userdir och suexec genom manipulation av direktivet "RequestHeader" i .htaccess-filen (om användning i .htaccess är tillåten).
• CVE-2025-59775 — SSRF-sårbarhet (Server-Side Request Forgery) som leder till läckage av NTLM-hash till en annan server när Apache httpd används på Windows-plattformen i konfigurationer med inställningarna "AllowEncodedSlashes On" och "MergeSlashes Off".
• CVE-2025-65082 — överskrivning av miljövariabler för CGI-skript på grund av otillbörlig rensning av kontrolltecken (inställningar kan överskriva värden på variabler som beräknas servern för CGI).
• CVE-2025-58098 — att skicka en rensad begäran i SSI (Server Side Includes) direktiv "" i konfigurationer med mod_cgid istället för mod_cgi.
• CVE-2025-55753 — att skicka kontinuerliga (utan fördröjning mellan förfrågningarna) upprepade ACME-förfrågningar för att uppdatera certifikat i modulen mod_md efter ett stort antal misslyckanden vid försök att uppdatera ett utgånget certifikat.

Bland de icke-säkerhetsrelaterade förbättringarna:

• Modulen mod_md med implementation av ACME-protokollet har uppdaterats till version 2.6.6:
  • Stöd för protokollutvidgningen ARI (ACME Renewal Information) har lagts till, vilket gör det möjligt att få information om behovet av att uppdatera certifikat och välja den bästa tidpunkten för uppdatering. För att aktivera ARI föreslås direktivet "MDRenewViaARI on|off".
  • Direktivet "MDInitialDelay" har implementerats för att ställa in en fördröjning för certifikatkontroll efter serverstart.
  • Standardvärdet för parametern MDRetryDelay (fördröjning före ny försök efter fel) har ökat till 30 sekunder.
  • Stödet för VPN-nätverket Tailscale har upphört.
  • Fel och minnesläckage har åtgärdats.
• Modulen mod_http2 har uppdaterats till version 2.0.35, där direktivet "H2MaxStreamErrors" har introducerats för att sätta en gräns för antalet fel i strömmen, efter vilken anslutningen kommer att stängas.
• I mod_http2 har korrekt hantering av svar med kod 3 från mod_cache etablerats.
• I mod_proxy_http2 har direktivet "ProxyErrorOverride" implementerats för att överskrida felkoder.
• I mpm_common har direktivet «ListenTCPDeferAccept» lagts till, vilket gör att värdet för TCP_DEFER_ACCEPT-alternativet (aktivering endast vid mottagande av data på socketen) kan ställas in för den lyssnande socketen.
• I mod_ssl har direktivet «SSLVHostSNIPolicy» lagts till för att konfigurera kompatibilitetsregler för virtuella värdar.

Källa: opennet.ru