La Apache Software Foundation dévoilé ça fait quelques jours la sortie de la nouvelle version du serveur HTTP "Apache 2.4.43", qui présente 34 changements et 3 vulnérabilités corrigées, en plus de fournir une série d'améliorations par rapport à la version 2.2.
Pour ceux qui ne connaissent pas Apache, ils devraient savoir ce que c'est un serveur Web HTTP open source, qui est disponible pour les plates-formes Unix (BSD, GNU / Linux, etc.), Microsoft Windows, Macintosh et autres.
Quoi de neuf dans Apache 2.4.43?
Cette nouvelle version du serveur est considérée comme importante car elle marque la fin de vie de la branche 2.2x et que cette version est basée sur et étend l'API Apache 2.2 et les modules écrits pour Apache 2.2 devront être recompilés pour fonctionner avec Apache 2.4.
Parmi les principaux changements qui ressortent de cette version, il y a le ajout d'un nouveau module "mod_systemd", Quoi fournit une intégration avec l'administrateur système Systemd et qui permet d'utiliser httpd dans les services de type «Type = notifier».
En outre, Capacités du module mod_md développé par le projet Let's Encrypt pour automatiser la réception et la maintenance des certificats en utilisant le protocole ACME (Automatic Certificate Management Environment) sont élargis.
À partir des changements dans les modules, nous pouvons trouver que pour mod_authn_socache la limite de la taille de la ligne mise en cache a été augmentée de 100 à 256.
Dans mod_ssl, le protocole TLS est négocié avec les hôtes virtuels (compatible avec la compilation avec OpenSSL-1.1.1 +.
Mod_ssl a ajouté la prise en charge de l'utilisation des clés privées et des certificats OpenSSL ENGINE lors de la spécification de l'URI PKCS # 11 dans SSLCertificateFile / KeyFile.
mod_proxy_hcheck a ajouté la prise en charge du masque% {Content-Type} dans les expressions de test.
Ajout des modes cookieSameSite, CookieHTTPOnly et CookieSecure à mod_usertrack pour configurer le suivi de l'utilisateur pour le traitement des cookies.
Mod_proxy_ajp pour les pilotes proxy implémente le paramètre "secret" pour prendre en charge le protocole d'authentification obsolète AJP13.
Pour les commandes définies dans la directive MDMessageCmd, un appel avec l'argument «installé» est fourni lorsqu'un nouveau certificat est activé après le redémarrage du serveur (par exemple, il peut être utilisé pour copier ou convertir un nouveau certificat pour d'autres applications).
La directive MDContactEmail a été ajoutée, grâce à laquelle vous pouvez spécifier un e-mail de contact qui ne chevauche pas les données de la directive ServerAdmin.
Des autres changements qui se démarquent de cette version:
- La prise en charge de la compilation croisée a été ajoutée aux apxs.
- Pour tous les hôtes virtuels, une prise en charge est fournie pour le protocole utilisé lors de la négociation d'un canal de communication sécurisé ("tls-alpn-01").
- Les directives Mod_md sont autorisées dans les blocs Oui .
- Remplacement des paramètres précédents lors de la réutilisation des défis MDCAC.
- Ajout de la possibilité de définir l'URL pour CTLog Monitor.
- Ajout d'un jeu de configuration pour OpenWRT.
- Tests mis en œuvre à l'aide du système d'intégration continue Travis CI.
- En-têtes de codage de transfert analysés.
- En raison de l'utilisation du hachage pour les tables de commandes, le redémarrage en mode "gracieux" a été accéléré (sans interrompre les gestionnaires de requêtes exécutés).
- Des tables ont été ajoutées à mod_lua r: headers_in_table, r: headers_out_table, r: err_headers_out_table, r: notes_table et r: subprocess_env_table, disponibles en mode lecture seule. Autoriser les tables à être définies sur null.
Pour la partie des erreurs corrigées dans cette nouvelle version:
- CVE-2020-1927: vulnérabilité dans mod_rewrite, qui permet d'utiliser le serveur pour transférer des appels vers d'autres ressources (redirection ouverte). Certains paramètres mod_rewrite peuvent amener l'utilisateur vers un autre lien codé en utilisant le caractère de saut de ligne dans le paramètre utilisé dans la redirection existante.
- CVE-2020-1934: vulnérabilité dans mod_proxy_ftp. L'utilisation de valeurs non initialisées peut provoquer une fuite de mémoire lors de l'envoi de requêtes à un serveur FTP contrôlé par un attaquant.
- Une fuite de mémoire dans mod_ssl qui se produit lorsque des requêtes OCSP sont jointes.
Enfin si vous voulez en savoir plus à propos de cette nouvelle version, vous pouvez vérifier les détails dans le lien suivant.
Télécharger
Vous pouvez obtenir la nouvelle version en vous rendant sur le site officiel d'Apache et dans sa section de téléchargement, vous trouverez le lien vers la nouvelle version.