Метка: httpd

Apache httpd 2.4.69 добавлен в репозиторий CodeIT, собран с поддержкой HTTP/2 (mod_http2), Brotli, TLS 1.3 и ALPN, с использованием OpenSSL 4.0.3. Пакеты собраны для RHEL, CentOS, AlmaLinux, Rocky Linux и Oracle Linux 7, 8, 9 и 10, а также для Ubuntu 22.04 и 24.04.

Это обновление устраняет уязвимости. Рекомендуется обновиться.

Начиная с 2.4.69 mod_ssl собирается с API OpenSSL 3.0 вместо 1.1.1 (OPENSSL_API_COMPAT повышен с 1.1.1 до 3.0.0), поскольку в OpenSSL 4.0 удалены возможности, объявленные устаревшими до 3.0. Вместе с этим убрана поддержка SRP (TLS-SRP, RFC 5054): директив SSLSRPVerifierFile и SSLSRPUnknownUserSeed больше нет, поэтому удалите их из конфигурации до обновления, иначе httpd не запустится; переменные SSL_SRP_USER и SSL_SRP_USERINFO больше не устанавливаются. API ENGINE в этих пакетах был отключён и раньше.

mod_http2 в RPM-пакетах теперь собирается из исходников httpd, как это уже делается в DEB-пакетах и в apache2 самой Ubuntu, а не из отдельного проекта mod_h2. Пакет сохраняет имя mod_http2 и теперь имеет версию httpd, поэтому dnf или yum обновляют mod_http2 2.0.42 до него сами: ничего удалять заранее не нужно, а изменённый 10-h2.conf сохраняется.

Для этой версии httpd доступен HTTP/3 через mod_http3 — экспериментальный модуль в отдельном пакете:

• RPM, EL8 и новее: dnf install mod_http3
• RPM, EL7: yum install mod_http3
• DEB: apt install libapache2-mod-http3

Модуль загружается сразу после установки, а сам HTTP/3 включается для каждого виртуального хоста. Отредактируйте пример vhost из пакета (ServerName и сертификат): на EL это /etc/httpd/vhosts.d/http3-vhost.conf, который httpd.conf по умолчанию не подключает, поэтому добавьте IncludeOptional vhosts.d/*.conf; в Ubuntu выполните a2ensite http3-vhost. Затем перезагрузите httpd и откройте 443/udp в межсетевом экране, так как QUIC работает поверх UDP.

Основные изменения:

• Исправлена иконка tar в документации, чтобы фоновая заливка была прозрачной. PR 70238.
• mod_ssl: Исправлены макросы совместимости OpenSSL для X509_get0_notBefore, X509_get0_notAfter и X509_get0_serialNumber с OpenSSL < 1.1. PR 70205.
• mod_cgid, mod_ssl, mod_md: Выполнены различные исправления по усилению защиты.
• mod_md: MDServerStatus теперь отключён по умолчанию.
• mod_auth_digest: Исправлена совместимость с выражениями на основе AuthName. PR 59039.
• mod_auth_digest.c: Убрана поддержка RFC 2069; переработано управление общей памятью и обработка клиентского nonce; mutex «authdigest-opaque» теперь больше не требуется.
• mod_lbmethod_heartbeat: Используется безопасный разбор целых чисел с проверкой диапазона вместо atoi().
• core: Отклоняются управляющие символы в фразе причины промежуточных ответов. Принимается только пробел как разделитель между кодом состояния.
• mod_substitute: Исправлена директива SubstituteMaxLineLength, чтобы она отклоняла значения, слишком большие для суффикса K/M/G.
• mod_substitute: Исправлен сбой или некорректное поведение при загрузке директивы Substitute с отсутствующим завершающим разделителем.
• mod_dir: Исправлен сбой в fixup_dir для запроса, который не сопоставлен ни с одним типом. PR68527.
• mod_http2: Не отбрасывается ответ в процессе выполнения, когда клиент отправляет корректный GOAWAY (error code 0) при том, что открытые им потоки всё ещё обрабатываются. Сеанс теперь «дожидает» открытые потоки вместо немедленного завершения, с чем async MPM сталкиваются гораздо чаще, чем event. Исправлено тихо отброшенное ответное сообщение; соответствует RFC 9113.
• mod_md: Совместимость с OpenSSL 4.
• pytest_suite: Портирование старого PERL-фреймворка тестирования на Python и pytest. Теперь он включён в исходное дерево в ./test.

Исправленные уязвимости:

• SECURITY: CVE-2026-93546: mod_dav_fs переполнение пространства имён Integer overflow в mod_dav_fs в Apache HTTP Server через 2.4.68 позволяет аутентифицированному WebDAV-клиенту с правом записи вызывать аварийное завершение процессов worker и стойко повреждать базу свойств каталога через запросы PROPPATCH, объявляющие много XML namespace.
• SECURITY: CVE-2026-79768: mod_userdir утечка информации Эквивалентность путей: уязвимость ‘/./’ (каталог с одной точкой) в модуле mod_userdir Apache HTTP Server при настройке с абсолютной директивой UserDir без подстановок (второй вариант в). Эта проблема затрагивает Apache HTTP Server: от 2.4.0 до 2.4.68.
• SECURITY: CVE-2026-73637: mod_auth_digest атака DoS Использование после освобождения в mod_auth_digest в Apache HTTP Server от Apache Software Foundation до 2.4.69 на всех платформах позволяет неаутентифицированному удалённому клиенту вызывать повреждение состояния аутентификации через параллельные запросы Digest-аутентификации при включённом AuthDigestNcCheck или установленном значении AuthDigestNonceLifetime равном 0. Рекомендуется обновиться до версии 2.4.69, которая исправляет эту проблему.
• SECURITY: CVE-2026-73636: mod_auth_digest атака повторного воспроизведения одноразового nonce обход аутентификации через capture-replay в mod_auth_digest в Apache Software Foundation Apache HTTP Server 2.4.x на всех платформах позволяет атакующему типа man-in-the-middle (MITM) повторять захваченные учётные данные Digest-аутентификации через специально сформированные запросы, которые вызывают garbage collection записи общей памяти клиента при установленном AuthDigestNonceLifetime равном 0. Рекомендуется обновиться до версии 2.4.69, которая исправляет эту проблему.
• SECURITY: CVE-2026-63718: mod_proxy_uwsgi Перехват ответа Transfer-Encoding Несовместимая интерпретация HTTP-запросов (‘HTTP Request/Response Smuggling’) уязвимость перехвата ответов в Apache HTTP Server через mod_proxy_uwsgi и специально сформированный uwsgi-ответ с Transfer-Encoding. Эта проблема затрагивает Apache HTTP Server: от 2.4.30 до 2.4.68.
• SECURITY: CVE-2026-63686: mod_xml2enc сбой при ошибке преобразования charset Отмена по NULL-указателю в mod_xml2enc в Apache Software Foundation Apache HTTP Server до 2.4.69 на всех платформах позволяет недоверенному серверу backend вызывать отказ в обслуживании через проксированный ответ с charset, преобразование которого частично выполняется, а затем завершается ошибкой. Рекомендуется обновиться до версии 2.4.69, которая исправляет эту проблему.
• SECURITY: CVE-2026-63292: mod_vhost_alias переполнение стека Переполнение буфера на основе стека в mod_vhost_alias в Apache Software Foundation Apache HTTP Server до 2.4.68 на всех платформах позволяет удалённому клиенту вызвать отказ в обслуживании или, потенциально, выполнить произвольный код через HTTP-запрос с заголовком Host, превышающим 8192 байта, когда VirtualDocumentRoot использует спецификатор формата имени хоста, а LimitRequestFieldSize увеличен выше значения по умолчанию. Рекомендуется обновиться до версии 2.4.69, которая исправляет эту проблему.
• SECURITY: CVE-2026-63045: mod_proxy_ftp обработка адресов PASV Ненадлежащая проверка адреса ответа FTP PASV в mod_proxy_ftp в Apache Software Foundation Apache HTTP Server до 2.4.68 на всех платформах позволяет, в конфигурациях forward proxy, недоверенному FTP-серверу заставить прокси открыть соединение для данных с произвольным сторонним хостом через специально сформированный ответ PASV. Рекомендуется обновиться до версии 2.4.69, которая исправляет эту проблему.
• SECURITY: CVE-2026-59797: mod_ssl SSLRequire допускает .htaccess ap_expr файловую функцию Уязвимость неправильного управления привилегиями в mod_ssl Apache HTTP Server через SSLRequire и выражения, связанные с файлами. Эта проблема затрагивает Apache HTTP Server: от 2.4.0 до 2.4.68.
• SECURITY: CVE-2026-59685: Запись за пределы в ap_directory_walk() Canonical-Name Rewrite в CASE_BLIND_FILESYSTEM Уязвимость записи за пределы в Apache HTTP Server в Windows при обработке путей с именами 8.3, которые могут увеличиваться при расширении. Эта проблема затрагивает Apache HTTP Server: от 2.4.0 до 2.4.68.
• SECURITY: CVE-2026-58415: mod_dav_fs доступ к чтению базы данных свойств Внутренние файлы состояния доступны внешним сторонам в mod_dav_fs в Apache Software Foundation Apache HTTP Server до 2.4.69 на всех платформах позволяет удалённому клиенту читать dead properties WebDAV ресурсов, которым он не имеет права авторизовать, через GET-запрос к каталогу .DAV state directory. Эта проблема затрагивает Apache HTTP Server: от 2.4.0 до 2.4.68.
• SECURITY: CVE-2026-57941: mod_http2 use-after-free / некорректная запись через повторный вход shared session->bbtmp Уязвимость use-after-free в mod_http2 Apache HTTP Server через повторный вход shared session->bbtmp. Эта проблема затрагивает Apache HTTP Server: от 2.4.0 до 2.4.68.
• SECURITY: CVE-2026-56449: mod_proxy_html: сбой в dump_content Уязвимость записи за пределы в mod_proxy_html Apache HTTP Server при специально сформированных HTTP- телах ответа. Эта проблема затрагивает Apache HTTP Server: от 2.4.0 до 2.4.68.
• SECURITY: CVE-2026-56154: mod_rewrite use-after-free через %{LA-U:HTTP…} Уязвимость use-after-free в Apache HTTP Server mod_rewrite при использовании lookahead (%{LA-U:HTTP…}) Эта проблема затрагивает Apache HTTP Server: от 2.4.0 до 2.4.68.
• SECURITY: CVE-2026-56153: mod_charset_lite: переполнение кучи в finish_partial_char Уязвимость записи за пределы в mod_charset_lite Apache HTTP Server. Эта проблема затрагивает Apache HTTP Server: от 2.4.0 до 2.4.68.
• SECURITY: CVE-2026-48005: mod_auth_digest атака повторной аутентификации Отсутствие проверок аутентификации в mod_auth_digest в Apache Software Foundation Apache HTTP Server до 2.4.69 на всех платформах позволяет неаутентифицированному удалённому клиенту вызвать отказ в обслуживании (вынужденная повторная аутентификация) через поддельные заголовки Authorization при включённой Digest-аутентификации с AuthDigestNcCheck. Рекомендуется обновиться до версии 2.4.69, которая исправляет эту проблему.
• SECURITY: CVE-2026-47360: mod_session: cookie сессии не удаляется при внутреннем редиректе Раскрытие конфиденциальной информации неавторизованному субъекту уязвимость в модуле mod_session_cookie Apache HTTP Server.
• SECURITY: CVE-2026-46729: mod_heartmonitor отказ в обслуживании Уязвимость отмены по NULL-указателю в Apache HTTP Servers mod_heartmonitor через unicast listener. Эта проблема затрагивает Apache HTTP Server: от 2.4.0 до 2.4.68.
• SECURITY: CVE-2026-42528: переполнение shared lock в mod_dav Ошибка в вычислении памяти в mod_dav в Apache httpd 2.4.67 и более ранних версиях позволяет атакующему с правом создавать WebDAV locks вызывать сбой дочерних процессов сервера. Рекомендуется обновиться до версии 2.4.69, которая исправляет эту проблему
• SECURITY: CVE-2026-42356: ограниченный RCE для некоторых внутренних редиректов на не-CGI-файлы в CGI-каталогах Уязвимость развёртывания неверного обработчика в Apache HTTP Server позволяет цели некоторых внутренних редиректов из CGI-программ также обрабатываться как CGI и выполняться. Цель должна уже находиться в каталоге, включённом для CGI, и не иметь другого расширения, распознаваемого mod_mime. Эта проблема затрагивает Apache HTTP Server: от 2.4.60 до 2.4.68.

mod_http3 v0.0.71 добавлен в репозиторий CodeIT. Пакеты собраны для RHEL, CentOS, AlmaLinux, Rocky Linux и Oracle Linux 7, 8, 9 и 10, а также для Ubuntu 22.04 и 24.04.

Это обновление устраняет уязвимости. Рекомендуется обновиться.

Основные изменения:

• Хост с «h3» в Protocols теперь обслуживает HTTP/3, используя сертификат mod_ssl, разрешённый для него (SSLCertificateFile и mod_md также), как это делает mod_http2, опираясь на mod_ssl. Удаляются H3CertificatePath и H3CertificateKeyPath; уберите их из существующих конфигураций.
• Выбор HTTP/3-сертификата выполняется по SNI, так что каждый виртуальный хост на общем порту обслуживает свой собственный сертификат вместо сертификата первого хоста.
• Для каждого виртуального хоста теперь используется отдельная конфигурация mod_http3 (AP_MODULE_FLAG_ALWAYS_MERGE). Хост без директив H3 раньше разделял конфигурацию главного сервера, поэтому параметры для конкретного хоста, такие как H3AltSvc и H3AltSvcMaxAge, незаметно игнорировались, и хосты не могли использовать собственный сертификат.
• Набор тестов: stop.conf теперь указывает тот же файл pid, что и httpd.conf, поэтому «apachectl -k stop» действительно останавливает сервер в сборках httpd, где файл pid по умолчанию находится в run/; ранее при каждом перезапуске в рамках набора тестов поддерживалась связь со старым сервером.

Исправленные уязвимости:

• SECURITY: Загрузка сертификата и ключа HTTP/3 выполняется в post_config при сохранении привилегированного запуска httpd, поэтому ключ, доступный только root, больше не приводит к ошибке в непривилегированном дочернем процессе, и как mod_ssl, так и mod_http3 читают одни и те же файлы.

mod_http3 v0.0.70 добавлен в репозиторий CodeIT. Пакеты собраны для RHEL, CentOS, AlmaLinux, Rocky Linux и Oracle Linux 7, 8, 9 и 10, а также для Ubuntu 22.04 и 24.04.

Это обновление устраняет уязвимости. Рекомендуется обновиться.

Основные изменения:

• Объявлена динамическая QPACK-таблица, размер которой задаётся H3QpackTableCapacity и H3QpackBlockedStreams, чтобы заголовки запросов сжимались так же, как и по HTTP/2.
• Пул рабочих для обработки запросов стал настраиваемым с H3MinWorkers, H3MaxWorkers и H3MaxWorkerIdleSeconds вместо фиксированных 16–64 потоков.
• Добавлен H3StreamTimeout: клиент, который перестаёт читать, больше не может удерживать рабочий поток запроса, пока запрос не будет завершён.
• Добавлен H3MaxStreamErrors: соединение закрывается, если клиент продолжает отправлять некорректные запросы, вместо того чтобы обслуживать их бесконечно.
• Опубликована среда TLS для mod_ssl (SSL_PROTOCOL, SSL_CIPHER и другие) для запросов HTTP/3, которую mod_ssl не контролирует.
• Добавлены H3SessionTickets, чтобы администратор мог управлять возобновлением сеансов для возвращающихся клиентов вместо выполнения полного рукопожатия.
• Добавлен H3SocketBufferSize, поэтому QUIC-сокет больше не отбрасывает дейтаграммы из-за слишком малого буфера приёма в ОС, когда соединение начинает работать на полной скорости.
• В модульном event loop принудительно используется H3IdleTimeout: соединение без запросов закрывается вместо того, чтобы удерживаться открытым пингами keepalive от QUIC.
• Некорректный запрос HTTP/3 отклоняется с ошибкой уровня потока вместо закрытия соединения, поэтому запросы, выполняющиеся параллельно, продолжают обрабатываться.
• Сборка выполняется с httpd 2.4.x, а также из trunk; теперь сегменты ответа и хук child_stopped выбираются на этапе компиляции.
• Определяется стабильная или devel версия httpd во время configure, и функция graceful drain возвращается в ветку 2.4.x.

Исправленные уязвимости:

• SECURITY: Обновлён submodule httpd, чтобы mpm_event допускал соединение, которое никогда не принимал, устраняя падение дочернего процесса при ErrorDocument по HTTP/3.
• SECURITY: Применены LimitRequestFields и LimitRequestFieldSize для HTTP/3, так что клиент больше не может раздувать память потока неограниченными заголовками.

В репозиторий добавлен Apache httpd 2.4.56-1 с поддержкой сжатия brotli от Google, mod_http2 2.0.13 для Red Hat Enterprise Linux, Rocky Linux, Alma Linux и CentOS. Mod_ssl собран динамически с OpenSSL 1.1.1t.

Исправлены уязвимости:

• CVE-2023-27522: HTTP response smuggling bug
• CVE-2023-25690: HTTP request smuggling vulnerability

Заметим, что httpd 2.4.54 поддерживает TLS 1.3 при сборке с OpenSSL 1.1.1. Все новые шифры включены и работают.
C версии 2.4.54-2 мы собираем OpenSSL+QUIC 1.1.1 отдельно, он устанавливается в /lib64 отдельно с суффиксом .so.81.1.1 и никак не затрагивает системные библиотеки.

Для установки в EL8 нужно включить соответствующий Module stream:

dnf module enable -y httpd:codeit

TLS 1.3 final на сегодня работает в Google Chrome 70+ и Mozilla Firefox 63+.

Для работы с SELinux в rpm включена соответствующая минимальная политика.

Модуль brotli уже включён в базовый RPM. Всё, что нужно — настроить фильтр

AddOutputFilterByType BROTLI_COMPRESS text/html text/plain text/xml text/css text/javascript application/javascript

В репозиторий добавлен Apache httpd 2.4.55-1 с поддержкой сжатия brotli от Google, mod_http2 2.0.2 для Red Hat Enterprise Linux, Rocky Linux, Alma Linux и CentOS. Mod_ssl собран динамически с OpenSSL 1.1.1o.

Исправлены уязвимости:

• CVE-2022-37436: Apache HTTP Server: mod_proxy prior to 2.4.55 allows a backend to trigger HTTP response splitting
• CVE-2022-36760: Apache HTTP Server: mod_proxy_ajp Possible request smuggling
• CVE-2006-20001: mod_dav out of bounds read, or write of zero byte

Заметим, что httpd 2.4.54 поддерживает TLS 1.3 при сборке с OpenSSL 1.1.1. Все новые шифры включены и работают. C версии 2.4.54-2 мы собираем OpenSSL+QUIC 1.1.1 отдельно, он устанавливается в /lib64 отдельно с суффиксом .so.81.1.1 и никак не затрагивает системные библиотеки.

Для установки в EL8 нужно включить соответствующий Module stream:

dnf module enable -y httpd:codeit

TLS 1.3 final на сегодня работает в Google Chrome 70+ и Mozilla Firefox 63+.

Для работы с SELinux в rpm включена соответствующая минимальная политика.

Модуль brotli уже включён в базовый RPM. Всё, что нужно — настроить фильтр

AddOutputFilterByType BROTLI_COMPRESS text/html text/plain text/xml text/css text/javascript application/javascript

В репозиторий добавлен Apache httpd 2.4.54-1 с поддержкой сжатия brotli от Google, mod_http2 2.0.2 для Red Hat Enterprise Linux, Rocky Linux, Alma Linux и CentOS. Mod_ssl собран динамически с OpenSSL 1.1.1o.

Исправлена уязвимость CVE-2022-26377: Apache HTTP Server: mod_proxy_ajp: Possible request smuggling.

Заметим, что httpd 2.4.54 поддерживает TLS 1.3 при сборке с OpenSSL 1.1.1. Все новые шифры включены и работают.
C версии 2.4.54-2 мы собираем OpenSSL+QUIC 1.1.1 отдельно, он устанавливается в /lib64 отдельно с суффиксом .so.81.1.1 и никак не затрагивает системные библиотеки.

Для установки в EL8 нужно включить соответствующий Module stream:

dnf module enable -y httpd:codeit

TLS 1.3 final на сегодня работает в Google Chrome 70+ и Mozilla Firefox 63+.

Для работы с SELinux в rpm включена соответствующая минимальная политика.

Модуль brotli уже включён в базовый RPM. Всё, что нужно — настроить фильтр

AddOutputFilterByType BROTLI_COMPRESS text/html text/plain text/xml text/css text/javascript application/javascript

В репозиторий добавлен Apache httpd 2.4.53-1 с поддержкой сжатия brotli от Google, mod_http2 2.0.2 для Red Hat Enterprise Linux, Rocky Linux, Alma Linux и CentOS. Mod_ssl собран динамически с OpenSSL 1.1.1m.
Ссылки:

• Apache httpd 2.4.53 для EL7;

Заметим, что httpd 2.4.53 поддерживает TLS 1.3 при сборке с OpenSSL 1.1.1. Все новые шифры включены и работают.
C версии 2.4.43-4 мы собираем OpenSSL отдельно, он устанавливается в /opt/codeit/openssl111 и никак не затрагивает системные библиотеки.

TLS 1.3 final на сегодня работает в Google Chrome 70+ и Mozilla Firefox 63+.

Для работы с SELinux в rpm включена соответствующая минимальная политика.

Модуль brotli уже включён в базовый RPM. Всё, что нужно — настроить фильтр

AddOutputFilterByType BROTLI_COMPRESS text/html text/plain text/xml text/css text/javascript application/javascript

В репозиторий добавлен Apache httpd 2.4.52-1 с поддержкой сжатия brotli от Google, mod_http2 2.0.2 для Red Hat Enterprise Linux, Rocky Linux, Alma Linux и CentOS. Mod_ssl собран динамически с OpenSSL 1.1.1l.
Ссылки:

• Apache httpd 2.4.52 для EL7;

Заметим, что httpd 2.4.52 поддерживает TLS 1.3 при сборке с OpenSSL 1.1.1. Все новые шифры включены и работают.
C версии 2.4.43-4 мы собираем OpenSSL отдельно, он устанавливается в /opt/codeit/openssl111 и никак не затрагивает системные библиотеки.

TLS 1.3 final на сегодня работает в Google Chrome 70+ и Mozilla Firefox 63+.

Для работы с SELinux в rpm включена соответствующая минимальная политика.

Модуль brotli уже включён в базовый RPM. Всё, что нужно — настроить фильтр

AddOutputFilterByType BROTLI_COMPRESS text/html text/plain text/xml text/css text/javascript application/javascript