Apache httpd 2.4.71 ha sido añadido al repositorio de CodeIT, compilado con HTTP/2 (mod_http2), Brotli, TLS 1.3 y ALPN, usando OpenSSL 4.0.3. Los paquetes se han compilado para RHEL, CentOS, AlmaLinux, Rocky Linux y Oracle Linux 7, 8, 9 y 10, y para Ubuntu 22.04 y 24.04.
Esta actualización corrige vulnerabilidades de seguridad. Se recomienda actualizar.
En los paquetes RPM, mod_http2 se compila ahora desde el código fuente de httpd, como ya se hace en los paquetes DEB y en el apache2 de Ubuntu, en lugar de desde el proyecto independiente mod_h2. El paquete conserva el nombre mod_http2 y ahora lleva la versión de httpd, así que dnf o yum actualizan desde mod_http2 2.0.42 por sí solos: no hay que desinstalar nada antes y se conserva un 10-h2.conf modificado.
HTTP/3 está disponible para este httpd mediante mod_http3, un módulo experimental empaquetado por separado:
- RPM, EL8 y posteriores: dnf install mod_http3
- RPM, EL7: yum install mod_http3
- DEB: apt install libapache2-mod-http3
El módulo se carga en cuanto se instala; HTTP/3 se activa por host virtual. Edite el vhost de ejemplo que instala el paquete (ServerName y certificado): en EL es /etc/httpd/vhosts.d/http3-vhost.conf, que httpd.conf no incluye por defecto, así que añada IncludeOptional vhosts.d/*.conf; en Ubuntu ejecute a2ensite http3-vhost. Después recargue httpd y abra 443/udp en el cortafuegos, ya que QUIC funciona sobre UDP.
Cambios principales:
- mod_md: ahora MDHttpProxy y MDCACertificateFile pueden establecerse por cada MDomain. La nueva directiva MDHttpProxyCACertificateFile establece los certificados CA usados para verificar un proxy HTTPS.
- mod_deflate: la longitud del campo extra de gzip (FEXTRA) se lee ahora como sin signo, de modo que un byte de longitud con el bit alto activado ya no se extiende con signo, corrigiendo la descompresión de flujos gzip que contienen un campo extra.
- mod_remoteip: RemoteIP{Trusted,Internal}ProxyList se aplica al host virtual en el que está configurado, y se fusionan las entradas de proxy del servidor principal y del host virtual; se registra una advertencia cuando ambos tienen algunas. PR 70207.
- mod_dav: corregido el tratamiento de encabezados de solicitud “Timeout:” no válidos o que desbordan, que podían conceder silenciosamente un bloqueo con un tiempo de espera ya expirado en lugar del máximo de RFC 4918. PR 65788
- mod_http2: se maneja correctamente la forma con asterisco de las solicitudes OPTIONS en lugar de rechazarlas como mal formadas. PR 70195.
- mod_http2: corregido el registro duplicado de infracciones del límite de encabezados.
- mod_http2: corregido un fallo al crear una sesión HTTP/2 con “H2PushDiarySize 0” y el registro de depuración habilitado.
- mod_dav_lock: corregido dav_generic_load_lock_record() al leer la longitud de la clave indirect-lock con un ancho incorrecto, lo que podía leer una longitud errónea en plataformas big-endian. PR 70299
- mod_remoteip: ahora un cierre de conexión antes de recibir un encabezado completo de PROXY protocol se registra a nivel info en lugar de como error. PR 63893.
Vulnerabilidades corregidas:
- SECURITY: CVE-2026-119618: mod_http2: corrupción de montón y RCE en assign_headers. Una vulnerabilidad de Concurrent Execution using Shared Resource with Improper Synchronization en mod_http2 de Apache HTTP Server en assign_headers() puede dar lugar a RCE. Este problema afecta a Apache HTTP Server: desde 2.4.55 hasta 2.4.70. Versiones afectadas de mod_h2 desde GitHub: desde 2.0.8 hasta 2.0.42.
- SECURITY: CVE-2026-109163: sobrescritura de 1 byte del búfer de la pila en mod_vhost_alias (después de CVE-2026-63292). Vulnerabilidad de desbordamiento de búfer basado en pila en mod_vhost_alias de Apache HTTP Server (después de CVE-2026-63292) Este problema afecta a Apache HTTP Server: 2.4.69 y 2.4.70.
- SECURITY: CVE-2026-106023: una desreferencia de puntero NULL en mod_md provoca la caída del proceso hijo. Vulnerabilidad de desreferencia de puntero NULL en mod_md de Apache HTTP Server durante el procesamiento de solicitudes HTTP. Este problema afecta a Apache HTTP Server: desde 2.4.30 hasta 2.4.70.