Ang paglabas ng Apache HTTP server 2.4.48 ay nai-publish (ang release 2.4.47 ay nilaktawan), na nagpapakilala ng 39 na pagbabago at nag-aalis ng 8 mga kahinaan:
- CVE-2021-30641 - pagkakamali ng seksyon sa 'MergeSlashes OFF' mode;
- CVE-2020-35452 - Overflow ng solong null byte stack sa mod_auth_digest;
- CVE-2021-31618, CVE-2020-26691, CVE-2020-26690, CVE-2020-13950 - NULL pointer dereferences sa mod_http2, mod_session at mod_proxy_http;
- CVE-2020-13938 - Posibilidad ng pagpapahinto sa proseso ng httpd ng isang walang pribilehiyong user sa Windows;
- CVE-2019-17567 - Mga isyu sa negosasyon sa protocol sa mod_proxy_wstunnel at mod_proxy_http.
Ang pinaka-kapansin-pansing mga pagbabagong hindi pangseguridad ay:
- Idinagdag ang setting ng ProxyWebsocketFallbackToProxyHttp sa mod_proxy_wstunnel upang hindi paganahin ang paglipat sa paggamit ng mod_proxy_http para sa WebSocket.
- Kasama sa core server API ang mga function na nauugnay sa SSL na available na ngayon nang walang mod_ssl module (halimbawa, pinapayagan ang mod_md module na magbigay ng mga key at certificate).
- Ang pagpoproseso ng mga tugon ng OCSP (Online Certificate Status Protocol) ay inilipat mula sa mod_ssl/mod_md patungo sa base na bahagi, na nagpapahintulot sa ibang mga module na ma-access ang data ng OCSP at makabuo ng mga tugon ng OCSP.
- Pinapayagan ng mod_md ang paggamit ng mga maskara sa direktiba ng MDomains, halimbawa, "MDomain *.host.net". Ang direktiba ng MDPrivateKeys ay nagbibigay-daan sa pagtukoy ng iba't ibang uri ng mga key, halimbawa ang "MDPrivateKeys secp384r1 rsa2048" ay nagbibigay-daan sa paggamit ng mga ECDSA at RSA certificate. Ang suporta para sa legacy na ACMEv1 protocol ay ibinigay.
- Nagdagdag ng suporta para sa Lua 5.4 sa mod_lua.
- Na-update na bersyon ng mod_http2 module. Pinahusay na paghawak ng error. Idinagdag ang opsyong 'H2OutputBuffering on/off' para kontrolin ang output buffering (pinagana bilang default).
- Ang direktiba ng mod_dav_FileETag ay nagpapatupad ng mode na "Digest" upang bumuo ng isang ETag batay sa isang hash ng mga nilalaman ng file.
- Binibigyang-daan ka ng mod_proxy na limitahan ang paggamit ng ProxyErrorOverride sa mga partikular na status code.
- Ang mga bagong direktiba na ReadBufferSize, FlushMaxThreshold at FlushMaxPipelined ay ipinatupad.
- Ang mod_rewrite ay nagpapatupad ng pagpoproseso ng SameSite attribute kapag nag-parse ng [CO] (cookie) flag sa RewriteRule na direktiba.
- Nagdagdag ng check_trans hook sa mod_proxy upang tanggihan ang mga kahilingan sa maagang yugto.
Pinagmulan: opennet.ru