Apache httpd 2.4.71 добавлен в репозиторий CodeIT, собран с поддержкой HTTP/2 (mod_http2), Brotli, TLS 1.3 и ALPN, с использованием OpenSSL 4.0.3. Пакеты собраны для RHEL, CentOS, AlmaLinux, Rocky Linux и Oracle Linux 7, 8, 9 и 10, а также для Ubuntu 22.04 и 24.04.
Это обновление устраняет уязвимости. Рекомендуется обновиться.
mod_http2 в RPM-пакетах теперь собирается из исходников httpd, как это уже делается в DEB-пакетах и в apache2 самой Ubuntu, а не из отдельного проекта mod_h2. Пакет сохраняет имя mod_http2 и теперь имеет версию httpd, поэтому dnf или yum обновляют mod_http2 2.0.42 до него сами: ничего удалять заранее не нужно, а изменённый 10-h2.conf сохраняется.
Для этой версии httpd доступен HTTP/3 через mod_http3 — экспериментальный модуль в отдельном пакете:
- RPM, EL8 и новее: dnf install mod_http3
- RPM, EL7: yum install mod_http3
- DEB: apt install libapache2-mod-http3
Модуль загружается сразу после установки, а сам HTTP/3 включается для каждого виртуального хоста. Отредактируйте пример vhost из пакета (ServerName и сертификат): на EL это /etc/httpd/vhosts.d/http3-vhost.conf, который httpd.conf по умолчанию не подключает, поэтому добавьте IncludeOptional vhosts.d/*.conf; в Ubuntu выполните a2ensite http3-vhost. Затем перезагрузите httpd и откройте 443/udp в межсетевом экране, так как QUIC работает поверх UDP.
Основные изменения:
- mod_md: MDHttpProxy и MDCACertificateFile теперь можно задавать для каждого MDomain отдельно. Новая директива MDHttpProxyCACertificateFile задаёт сертификаты CA, используемые для проверки HTTPS-прокси.
- mod_deflate: Длина дополнительного поля gzip (FEXTRA) теперь считывается как беззнаковая, поэтому байт длины с установленным старшим битом больше не знаково расширяется, что исправляет распаковку gzip-потоков, содержащих дополнительное поле.
- mod_remoteip: RemoteIP{Trusted,Internal}ProxyList применяется к виртуальному хосту, в котором он настроен, а записи прокси основного сервера и виртуального хоста объединяются; при наличии записей в обоих выводится предупреждение. PR 70207.
- mod_dav: Исправлена обработка недопустимых или переполняющихся заголовков запроса «Timeout:», которые могли незаметно выдавать блокировку уже с истёкшим временем ожидания вместо максимального значения из RFC 4918. PR 65788
- mod_http2: Корректно обрабатывается форма OPTIONS-запросов со звёздочкой вместо их отклонения как некорректных. PR 70195.
- mod_http2: Исправлено дублирование журналирования нарушений лимита заголовков.
- mod_http2: Исправлено аварийное завершение при создании сеанса HTTP/2 с «H2PushDiarySize 0» и включённым отладочным журналированием.
- mod_dav_lock: Исправлено чтение dav_generic_load_lock_record() длины ключа indirect-lock с неверной шириной, из-за чего на big-endian-платформах могла считываться неверная длина. PR 70299
- mod_remoteip: Закрытие соединения до получения полного заголовка PROXY protocol теперь журналируется на уровне info, а не как ошибка. PR 63893.
Исправленные уязвимости:
- SECURITY: CVE-2026-119618: mod_http2: повреждение кучи и RCE в assign_headers. Уязвимость Concurrent Execution using Shared Resource with Improper Synchronization в mod_http2 сервера Apache HTTP Server в assign_headers() может привести к RCE. Эта проблема затрагивает Apache HTTP Server: с 2.4.55 по 2.4.70. Затронутые выпуски mod_h2 из GitHub: с 2.0.8 по 2.0.42.
- SECURITY: CVE-2026-109163: mod_vhost_alias перезапись 1 байта буфера стека (после CVE-2026-63292). Уязвимость переполнения буфера на стеке в mod_vhost_alias Apache HTTP Server (после CVE-2026-63292) Эта проблема затрагивает Apache HTTP Server: 2.4.69 и 2.4.70.
- SECURITY: CVE-2026-106023: разыменование NULL-указателя в mod_md приводит к аварийному завершению дочернего процесса. Уязвимость разыменования NULL-указателя в mod_md Apache HTTP Server во время обработки HTTP-запросов. Эта проблема затрагивает Apache HTTP Server: с 2.4.30 по 2.4.70.