Apache 2.4.49 HTTP 服務器版本已經發布，其中包含 27 個更改並修復了 5 個漏洞：
- CVE-2021-33193 - mod_http2 易受 HTTP 請求走私攻擊的新變體影響，該攻擊允許通過發送專門設計的客戶端請求，插入通過 mod_proxy 傳輸的其他用戶請求的內容（例如，您可以實現在站點的另一個用戶的會話中替換惡意 JavaScript 代碼）。
- CVE-2021-40438 - mod_proxy 中的 SSRF（服務器端請求偽造）漏洞，允許通過發送專門設計的 uri-path 請求將請求重定向到攻擊者選擇的服務器。
- CVE-2021-39275 - ap_escape_quotes 函數中的緩衝區溢出。 該漏洞被標記為非危險，因為所有標準模塊都不會將外部數據傳遞給此函數。 但理論上可能存在第三方模塊，可以通過這些模塊進行攻擊。
- CVE-2021-36160 - mod_proxy_uwsgi 模塊中的越界讀取，導致崩潰。
- CVE-2021-34798 - 空指針取消引用導致進程在處理特製請求時崩潰。
最顯著的非安全變化是：
- mod_ssl 內部有相當多的變化。 “ssl_engine_set”、“ssl_engine_disable”和“ssl_proxy_enable”設置已從 mod_ssl 移至主填充（核心）。 提供了使用替代 SSL 模塊通過 mod_proxy 保護連接的能力。 添加了記錄私鑰的功能，可以在 wireshark 中使用它來分析加密流量。
- Mod_proxy 加速解析在“代理：”URL 中傳遞的 unix 套接字路徑。
- mod_md 模塊的功能已擴展，該模塊用於使用 ACME（自動證書管理環境）協議自動接收和維護證書。 允許引用域並為未綁定到虛擬主機的域名提供了對 tls-alpn-01 的支持。
- 添加了 StrictHostCheck 選項以禁用未配置的主機名作為“允許”列表的參數。
來源： opennet.ru