mod_http3 v0.0.75 добавлен в репозиторий CodeIT. Пакеты собраны для RHEL, CentOS, AlmaLinux, Rocky Linux и Oracle Linux 7, 8, 9 и 10, а также для Ubuntu 22.04 и 24.04.
Это обновление устраняет уязвимости. Рекомендуется обновиться.
Основные изменения:
- Клиент мог открыть только H3MaxConcurrentStreams потоков за всё время жизни соединения: сервер никогда не возвращал кредит потоков, когда клиентский поток закрывался, поэтому клиент замирал после такого числа запросов (100 по умолчанию). Ошибка присутствует с v0.0.72.
Исправленные уязвимости:
- SECURITY: HTTP/3 requests now run ap_check_request_header() and the post_read_request hooks, as HTTP/1.1 and HTTP/2 do. Before, server-level SetEnvIf and BrowserMatch, RemoteIPHeader, RequestHeader early and StrictHostCheck did not apply to HTTP/3, so a rule such as «Require not env bad_bot» could give 403 over HTTP/1.1 and 200 over HTTP/3. From apache/httpd PR #944.