Tag: httpd

mod_http3 v0.0.71 已新增到 CodeIT 仓库。这些软件包适用于 RHEL、CentOS、AlmaLinux、Rocky Linux 和 Oracle Linux 7、8、9 和 10，以及 Ubuntu 22.04 和 24.04。

本次更新修复了安全漏洞，建议尽快升级。

主要变更：

• 在 Protocols 中包含 “h3” 的主机现在会用为其解析出来的 mod_ssl 证书提供 HTTP/3 服务（SSLCertificateFile 以及 mod_md 同样适用），方式与 mod_http2 依赖 mod_ssl 的方式一致。移除了 H3CertificatePath 和 H3CertificateKeyPath；从现有配置中删除它们。
• 通过 SNI 选择 HTTP/3 证书，因此共享端口上的每个虚拟主机都会提供各自的证书，而不是第一个主机的证书。
• 每个虚拟主机都有独立的 mod_http3 配置（AP_MODULE_FLAG_ALWAYS_MERGE）。不包含 H3 指令的主机过去会与主服务器共享设置，因此像 H3AltSvc 和 H3AltSvcMaxAge 这类按主机的参数会被默默忽略，且主机无法携带自己的证书。
• 测试套件：stop.conf 现在使用与 httpd.conf 相同的 pid 文件，因此在默认 pid 文件位于 run/ 的 httpd 构建中，”apachectl -k stop” 会真正停止服务器；此前，套件中的每次重启都会继续与上一台服务器通信。

修复的漏洞：

• SECURITY：HTTP/3 证书和密钥在 post_config 中加载，而 httpd 仍以特权运行，因此仅 root 可访问的密钥不再会导致非特权子进程失败，并且 mod_ssl 和 mod_http3 都读取同一组文件。

mod_http3 v0.0.70 已新增到 CodeIT 仓库。这些软件包适用于 RHEL、CentOS、AlmaLinux、Rocky Linux 和 Oracle Linux 7、8、9 和 10，以及 Ubuntu 22.04 和 24.04。

本次更新修复了安全漏洞，建议尽快升级。

主要变更：

• 发布了按 H3QpackTableCapacity 和 H3QpackBlockedStreams 大小配置的 QPACK 动态表，使请求头在 HTTP/2 上的压缩方式保持一致。
• 请求工作线程池改为可通过 H3MinWorkers、H3MaxWorkers 和 H3MaxWorkerIdleSeconds 调整，而不是固定的 16 到 64 线程。
• 新增了 H3StreamTimeout：停止读取的客户端不再能一直占用一个请求工作进程，直到该请求消失为止。
• 新增了 H3MaxStreamErrors：当客户端持续发送畸形请求而不是停止响应时，连接会被关闭，而不是一直让它持续下去。
• 发布了用于 HTTP/3 请求的 mod_ssl TLS 环境（SSL_PROTOCOL、SSL_CIPHER 以及相关项），因为这些设置由 mod_ssl 不进行管理。
• 新增了 H3SessionTickets，使运维人员能够控制回访客户端是否恢复会话，而不是执行完整握手。
• 新增了 H3SocketBufferSize，因此当连接以满速运行时，QUIC 套接字不再因为操作系统接收缓冲区过小而丢弃数据报。
• 在模块的事件循环中强制执行 H3IdleTimeout：无请求的连接会被关闭，而不是被 QUIC keepalive ping 保持打开。
• 拒绝畸形的 HTTP/3 请求并返回 stream error，而不是关闭连接，因此与其并行的请求仍可继续存活并处理。
• 构建同时支持 httpd 2.4.x 和 trunk；响应 bucket 以及 child_stopped hook 现在在编译时选择。
• 在 configure 时检测 stable 还是 devel 的 httpd，并将 graceful drain 回迁到 2.4.x 分支。

修复的漏洞：

• SECURITY: 更新了 httpd 子模块，使 mpm_event 能容忍它从未接收过的连接，从而结束在通过 HTTP/3 处理 ErrorDocument 时导致的子进程崩溃。
• SECURITY: 将 LimitRequestFields 和 LimitRequestFieldSize 应用于 HTTP/3，因此客户端不再能通过无限制的请求头让某个 stream 的内存持续增长。