mod_http3 v0.0.75 ha sido añadido al repositorio de CodeIT. Los paquetes se han compilado para RHEL, CentOS, AlmaLinux, Rocky Linux y Oracle Linux 7, 8, 9 y 10, y para Ubuntu 22.04 y 24.04.
Esta actualización corrige vulnerabilidades de seguridad. Se recomienda actualizar.
Cambios principales:
- Un cliente solo podía abrir H3MaxConcurrentStreams streams durante toda la vida de una conexión: el servidor nunca devolvía el crédito de streams cuando se cerraba un stream del cliente, así que el cliente se quedaba bloqueado después de ese número de peticiones (100 por defecto). Presente desde v0.0.72.
Vulnerabilidades corregidas:
- SECURITY: HTTP/3 requests now run ap_check_request_header() and the post_read_request hooks, as HTTP/1.1 and HTTP/2 do. Before, server-level SetEnvIf and BrowserMatch, RemoteIPHeader, RequestHeader early and StrictHostCheck did not apply to HTTP/3, so a rule such as “Require not env bad_bot” could give 403 over HTTP/1.1 and 200 over HTTP/3. From apache/httpd PR #944.