Apache HTTP 伺服器 2.4.46 版本（跳過了 2.4.44 和 2.4.45 版本），其中引入了 並消除了 :
- — mod_proxy_uwsgi 模組中的緩衝區溢出，在發送特製請求時可能導致伺服器上的資訊洩漏或程式碼執行。 該漏洞是透過發送非常長的 HTTP 標頭來利用的。 為了保護，增加了對長度超過 16K 的標頭的阻止（協議規範中定義的限制）。
- — mod_http2 模組中的一個漏洞，在發送帶有專門設計的 HTTP/2 標頭的請求時，該漏洞允許進程崩潰。 當在 mod_http2 模組中啟用偵錯或追蹤時，該問題就會顯現出來，並反映在將資訊儲存到日誌時由於競爭條件而導致記憶體內容損壞。 當LogLevel設定為“info”時，不會出現該問題。
- — mod_http2 模組中的漏洞，當使用專門設計的「Cache-Digest」標頭值透過 HTTP/2 傳送請求時，進程會崩潰（當嘗試對資源執行 HTTP/2 PUSH 操作時會發生崩潰） 。 若要封鎖該漏洞，您可以使用「H2Push off」設定。
- — mod_remoteip 漏洞，讓您在代理程式期間使用 mod_remoteip 和 mod_rewrite 欺騙 IP 位址。 該問題僅出現在版本 2.4.1 至 2.4.23 中。
最顯著的非安全變化是：
- mod_http2 已刪除對規範草案的支持 ，其促銷已停止。
- 更改了 mod_http2 中「LimitRequestFields」指令的行為；現在指定值 0 將停用該限制。
- mod_http2 提供主要和次要（主/次）連接的處理以及根據使用情況標記方法。
- 如果從 FCGI/CGI 腳本接收到不正確的 Last-Modified 標頭內容，則該標頭現在將被刪除，而不是在 Unix 紀元時間中被取代。
- 程式碼中加入了 ap_parse_strict_length() 函數來嚴格解析內容大小。
- Mod_proxy_fcgi 的 ProxyFCGISetEnvIf 確保如果給定表達式傳回 False，則刪除環境變數。
- 修正了使用透過 SSLProxyMachineCertificateFile 設定指定的客戶端憑證時的競爭條件和可能的 mod_ssl 崩潰。
- 修復了 mod_ssl 中的記憶體洩漏。
- mod_proxy_http2提供了代理參數的使用”» 檢查新的或重複使用的後端連線的功能時。
- 當 mod_systemd 啟用時，停止使用「-lsystemd」選項綁定 httpd。
- mod_proxy_http2 確保在等待透過連接到後端的傳入資料時考慮 ProxyTimeout 設定。
來源： opennet.ru