출처: http://www.apache.org/dist/httpd/CHANGES_2.4.28
Apache HTTP Server 2.4.28 변경 사항
Apache HTTP Server 2.4.28의 주요 변경 사항입니다. 이번 릴리스에는 CVE-2017-9798 보안 수정과 함께 mod_proxy, mod_http2, mod_ssl, event MPM 등 여러 모듈의 안정성 및 호환성 개선이 포함되었습니다.
주요 보안 수정
*) SECURITY: CVE-2017-9798 (cve.mitre.org)
Corrupted or freed memory access. <Limit[Except]> must now be used in the
main configuration file (httpd.conf) to register HTTP methods before the
.htaccess files. [Yann Ylavic]
이 항목은 <Limit> 또는 <LimitExcept> 지시어 사용 방식과 관련된 보안 수정입니다. 해당 버전을 운영 중이라면 공식 변경 이력과 보안 공지를 확인한 뒤, 설정 파일에서 HTTP 메서드 등록 방식이 의도대로 동작하는지 점검하는 것이 좋습니다.
모듈 및 기능 변경
*) event: Avoid possible blocking in the listener thread when shutting down
connections. PR 60956. [Yann Ylavic]
*) mod_speling: Don't embed referer data in a link in error page.
PR 38923 [Nick Kew]
*) htdigest: prevent a buffer overflow when a string exceeds the allowed max
length in a password file.
[Luca Toscano, Hanno Böck <hanno hboeck de>]
*) mod_proxy: loadfactor parameter can now be a decimal number (eg: 1.25).
[Jim Jagielski]
*) mod_proxy_wstunnel: Allow upgrade to any protocol dynamically.
PR 61142.
*) mod_watchdog/mod_proxy_hcheck: Time intervals can now be specified
down to the millisecond. Supports 'mi' (minute), 'ms' (millisecond),
's' (second) and 'hr' (hour!) time suffixes. [Jim Jagielski]
*) mod_http2: Fix for stalling when more than 32KB are written to a
suspended stream. [Stefan Eissing]
*) build: allow configuration without APR sources. [Jacob Champion]
*) mod_ssl, ab: Fix compatibility with LibreSSL. PR 61184.
[Bernard Spil <brnrd freebsd.org>, Michael Schlenker <msc contact.de>,
Yann Ylavic]
*) core/log: Support use of optional "tag" in syslog entries.
PR 60525. [Ben Rubson <ben.rubson gmail.com>, Jim Jagielski]
*) mod_proxy: Fix ProxyAddHeaders merging. [Joe Orton]
*) core: Disallow multiple Listen on the same IP:port when listener buckets
are configured (ListenCoresBucketsRatio > 0), consistently with the single
bucket case (default), thus avoiding the leak of the corresponding socket
descriptors on graceful restart. [Yann Ylavic]
*) event: Avoid listener periodic wake ups by using the pollset wake-ability
when available. PR 57399. [Yann Ylavic, Luca Toscano]
*) mod_proxy_wstunnel: Fix detection of unresponded request which could have
led to spurious HTTP 502 error messages sent on upgrade connections.
PR 61283. [Yann Ylavic]
업데이트 후 확인할 점
- httpd.conf 및 .htaccess에서 <Limit>, <LimitExcept> 지시어를 사용하는 부분을 확인합니다.
- mod_proxy, mod_proxy_wstunnel, mod_http2를 사용하는 환경이라면 업그레이드 후 프록시 연결, WebSocket 업그레이드, HTTP/2 요청 처리에 문제가 없는지 테스트합니다.
- graceful restart를 사용하는 서버에서는 재시작 후 포트 바인딩 및 로그에 경고가 남지 않는지 확인합니다.