不具合修正

* mod_dav: redirect-carefully の例の BrowserMatch の設定を更新し、より最近のクライアントのバージョンに合うように修正されました。(PR 66148、67039)

* mod_cache_socache: エラーパスでクラッシュする可能性がありました。この問題が修正されました。(PR 69358)

* mod_ssl: OpenSSL の初期化に失敗した場合、起動時にクリーンに失敗するようになりました。

* mod_md: バージョン 2.4.31 に更新されました。
– ACME サーバーによる、ドメインの検証待ちやオーダーの確定がタイムアウトなどで失敗した場合のエラー報告が改善されました。
– ACME サーバがドメイン名を検証し証明書を発行するまでの待ち時間が 30 秒から 5 分に増加されました。
– ステープリングが有効で、証明書に OCSP レスポンダ URL が含まれていない場合のログレベルが、エラーからデバッグに変更されました。

* mod_proxy_balancer: バランサマネージャによる stickysession 設定パラメータの処理が修正されました。(PR 69510)

* mod_authnz_ldap に ldap-search オプションを追加し、ユーザー名を含まない任意の式に基づいて認証できるようになりました。ldap 検索が長すぎる場合は、エラーを明示的にログに記録します。

* mod_proxy: ホスト名またはポートを置換した ProxyPassMatch ワーカーのパラメータを有効にするようになりました。(PR 69233)

* mod_log_config: LogFormat ディレクティブのマージが修正されました。(PR 65222)

* mod_lua: r.ap_auth_type が書き込み可能になりました。(PR 62497)

* mod_md: バージョン 2.4.29 に更新されました。
– 一部の ACME サーバが最後の改行を無視するため、HTTP-01 チャレンジが改行を持たないように修正されました。
– MDStapling が有効な場合に、サーバーステータスのプレーンテキスト出力で label+newline が欠落する問題が修正されました。

* mod_ssl: SSLCryptoDevice が設定されていない ENGINE 経由での PKCS#11 鍵の読み込みのサポートが戻りました。

* mod_authnz_ldap: AuthLDAPSubGroupAttribute ディレクティブが設定されている場合に メモリが破壊される可能性がありました。この問題が修正されました。

* mod_proxy_fcgi: SetHandler で SCRIPT_FILENAME を設定しても再エンコードしないようになりました。(PR 69203)

* mod_rewrite, mod_proxy: 「unix:」を含む、書き換えられた [P] URL を正規化するようになりました。(PR 69235, PR 69260)

* mod_rewrite: ディレクトリコンテキストの RewriteRule がプロキシを使う際に、mod_proxy がロードされていない場合はエラーとなるようになりました。(PR 56264)

* http: Navigator 2-3 と MSIE 3 が送る Request-Range ヘッダのサポートが削除されました。

* mod_rewrite: [UNC] フラグを不要にし、置換に perdir 接頭辞を適用することで付加される // の先頭を保持するようになりました。

* Windows: UNC パスで構成ファイルを “Include” する機能が戻りました。(PR 69313)

* mod_proxy: <Location> 内の SetHandler “unix:” URL の AH01059 解析エラーを回避するように修正されました(2.4.62 では不完全な修正でした)。(PR 69160)

* mod_md: バージョン 2.4.28 に更新されました。
– サーバーが起動すると、アクティブ化する新しいステージングされた証明書を探します。 ‘md/staging/<domain>’ 内のステージングされたファイル セットが混乱していると、それ以上の更新が行われなくなる可能性があります。ステージング セットが存在するが、エラーのためにアクティブ化できなかった場合は、ディレクトリ全体を消去します。
– ACME 更新時の証明書取得を修正し、ACME CA から返される ‘Location:’ ヘッダーを必要としないようにします。これは、IETF 標準になる前の ACME で実行されていた方法です。Let’s Encrypt は引き続きこれをサポートしていますが、他の CA はサポートしていません。
– OpenSSL < 1.1 との互換性を復元します。

* mod_tls: 実験的なモジュールを削除しました。現在は https://github.com/icing/mod_tls からスタンドアロンで利用できます。 rustls が提供する API は安定しておらず、httpd のリリース サイクルと一致していません。

* mod_rewrite: UnsafeAllow3F を回避するための疑問符の追跡を改善しました。(PR 69197)

* mod_http2: クライアントの更新をブロックするときに、接続の監視をイベント MPM に戻すようになりました。

詳細は以下をご覧ください。

https://downloads.apache.org/httpd/CHANGES_2.4

脆弱性修正

* CVE-2024-40898: Apache HTTP Server: Windows 上での server/vhost コンテキストでの mod_rewrite による SSRF。server/vhost で mode_rewrite を使用している Windows 上の Apache HTTP Server の SSRF により、NTML ハッシュが SSRF と悪意のあるリクエスト経由で悪意のあるサーバにリークする可能性がありました。この問題が修正されているバージョン 2.4.62 にアップグレードすることが推奨されます。(CVE-2024-40898)

* CVE-2024-40725: Apache HTTP Server: AddType により設定されたハンドラによるソースコードの公開。Apache HTTP Server 2.4.61 の core での CVE-2024-39884 に対する部分的な修正では、古い content-type ベースのハンドラの設定の使用方法が少々無視されていました。”AddType” や同様の設定では、ファイルが間接的に要求される環境下では、ローカルのコンテンツのソースコード公開に至ってしまう場合がありました。例えば、PHP スクリプトがプログラムとして解釈されず、そのまま提示されてしまう可能性がありました。この問題が修正されているバージョン 2.4.62 にアップグレードすることが推奨されます。(CVE-2024-40725)

不具合修正

* mod_proxy: SetHandler を使用して設定された “balancer:” URL についての正規化と FCGI env (PATH_INFO, SCRIPT_NAME) が修正され、BlanacerMember による “unix:” ソケットも可能となりました。(PR 69168)

* mod_proxy: SetHandler “unix:” URL についての AH01059 パーシングエラーが回避されるようになりました。(PR 69160)

* mod_ssl: OpenSSL 3.2 を使用する PKCS#11 ENGINE のサポートでのクラッシュが修正されました。

* mod_ssl: OpenSSL 3.x プロバイダによる pkcs11: URI からの証明書/鍵のロードがサポートされました。

* mod_ssl: OpenSSL >= 3.0 での trace7 loglevel での SSL のダンプ出力が復活されました。

* mpm_worker: 子プロセスが適切なタイミングで終了しないことについての警告(AH00045)が修正されました。

詳細は以下をご覧ください。

https://downloads.apache.org/httpd/CHANGES_2.4