Вышел корректирующий релиз http-сервера Apache 2.2.1718.10.2010 23:21

Вышел релиз http-сервера Apache 2.2.17 в который внесено 13 исправлений. Кроме того, в новой версии устранено три уязвимости в поставляемых в составе Apache дополнительных компонентах: DoS-уязвимость (исчерпание доступной памяти) в утилите apr и две DoS-уязвимости (крах процесса) во встроенном варианте библиотеки Expat, связанные с возможностью переполнения буфера в момент парсинга XML-данных, содержащих некорректные последовательности символов в UTF-8.

Исправления, представленные в Apache 2.2.17:

В prefork MPM исправлена проблема с обработкой последнего запроса, в случае gracefull-перезапуска;
В mod_reqtimeout неправильно выставлялись таймауты для соединений через mod_proxy и обработчиков протоколов, подобных mod_ftp;
В Proxy-балансировщике добавлена поддержка установки кода HTTP-ошибки на основании данных HTTP-ответа от бэкенда;
В mod_authnz_ldap при установке директивы AuthLDAPCharsetConfig теперь перекодированию в UTF-8 подлежат также и пароли;
Добавлена проверка владельца символических ссылок, в случае когда одновременно активны директивы FollowSymlinks и SymlinksIfOwnerMatch;
Исправлена проверка происхождения ссылки в SymlinksIfOwnerMatch;
В mod_headers включена опция замены нескольких подпадающих под маску значений (multi-match-and-replace);
В mod_log_config при указании ${cookie}C совпадения ищутся только среди имен cookie, вместо поиска подстроки по всем данным;
В mod_dir и mod_negotiation обеспечено прохождение информации о выходном фильтре для вновь созданных подзапросов, что позволяет впоследствии использовать их в роли полноценных запросов в рамках внутреннего редиректа;
В коде ротации логов устранено потенциальное переполнение буфера, при задании администратором в файле конфигурации множественного файлового пути к логам.
В mod_ssl устранено перекрытие вызова memcpy;
При обработке заголовка "Host:" c цифровыми данными, часть этих данных больше не воспринимается при определенных ситуациях как номер порта;
Представлена ранее недокументированная опция httpd "-T", позволяющая отключить проверку на наличие DocumentRoot в момент запуска.