اپاچی HTTP سرور 2.4.48 کی ریلیز شائع ہو چکی ہے (ریلیز 2.4.47 کو چھوڑ دیا گیا تھا)، جو 39 تبدیلیاں متعارف کراتی ہے اور 8 کمزوریوں کو ختم کرتی ہے:
- CVE-2021-30641 - سیکشن غلط فائر 'MergeSlashes OFF' موڈ میں؛
- CVE-2020-35452 - mod_auth_digest میں سنگل null بائٹ اسٹیک اوور فلو؛
- CVE-2021-31618, CVE-2020-26691, CVE-2020-26690, CVE-2020-13950 - mod_http2، mod_session اور mod_proxy_http میں NULL پوائنٹر ڈیریفرنسز؛
- CVE-2020-13938 - ونڈوز پر ایک غیر مراعات یافتہ صارف کے ذریعہ httpd کے عمل کو روکنے کا امکان؛
- CVE-2019-17567 - mod_proxy_wstunnel اور mod_proxy_http میں پروٹوکول گفت و شنید کے مسائل۔
سب سے زیادہ قابل ذکر غیر سیکورٹی تبدیلیاں ہیں:
- ProxyWebsocketFallbackToProxyHttp ترتیب کو mod_proxy_wstunnel میں شامل کر دیا گیا تاکہ WebSocket کے لیے mod_proxy_http استعمال کرنے کی منتقلی کو غیر فعال کیا جا سکے۔
- کور سرور API میں SSL سے متعلقہ فنکشنز شامل ہیں جو اب mod_ssl ماڈیول کے بغیر دستیاب ہیں (مثال کے طور پر، mod_md ماڈیول کو کلیدیں اور سرٹیفکیٹ فراہم کرنے کی اجازت دینا)۔
- OCSP (آن لائن سرٹیفکیٹ اسٹیٹس پروٹوکول) کے جوابات کی پروسیسنگ کو mod_ssl/mod_md سے بنیادی حصے میں منتقل کر دیا گیا ہے، جو دوسرے ماڈیولز کو OCSP ڈیٹا تک رسائی اور OCSP ردعمل پیدا کرنے کی اجازت دیتا ہے۔
- mod_md MDomains کی ہدایت میں ماسک کے استعمال کی اجازت دیتا ہے، مثال کے طور پر، "MDomain *.host.net"۔ MDPrivateKeys ہدایت مختلف قسم کی چابیاں بتانے کی اجازت دیتی ہے، مثال کے طور پر "MDPrivateKeys secp384r1 rsa2048" ECDSA اور RSA سرٹیفکیٹس کے استعمال کی اجازت دیتا ہے۔ لیگیسی ACMEv1 پروٹوکول کے لیے سپورٹ فراہم کی گئی ہے۔
- Lua 5.4 کے لیے mod_lua میں تعاون شامل کر دیا گیا۔
- mod_http2 ماڈیول کا تازہ ترین ورژن۔ خرابی سے نمٹنے میں بہتری۔ آؤٹ پٹ بفرنگ کو کنٹرول کرنے کے لیے 'H2OutputBuffering on/off' آپشن شامل کیا گیا (بذریعہ ڈیفالٹ فعال)۔
- mod_dav_FileETag ڈائرکٹیو فائل کے مشمولات کی ہیش پر مبنی ETag بنانے کے لیے "ڈائجسٹ" موڈ کو نافذ کرتا ہے۔
- mod_proxy آپ کو ProxyErrorOverride کے استعمال کو مخصوص اسٹیٹس کوڈز تک محدود کرنے کی اجازت دیتا ہے۔
- نئی ہدایات ReadBufferSize، FlushMaxThreshold اور FlushMaxPiplined کو نافذ کر دیا گیا ہے۔
- mod_rewrite RewriteRule ہدایت میں [CO] (cookie) پرچم کو پارس کرتے وقت SameSite وصف کی پروسیسنگ کو لاگو کرتا ہے۔
- ابتدائی مرحلے میں درخواستوں کو مسترد کرنے کے لیے mod_proxy میں check_trans ہک شامل کر دیا گیا۔
ماخذ: opennet.ru