Вышел релиз http-сервера Apache 2.2.17 в который внесено 13 исправлений. Кроме того, в новой версии устранено три уязвимости в поставляемых в составе Apache дополнительных компонентах: DoS-уязвимость (исчерпание доступной памяти) в утилите apr и две DoS-уязвимости (крах процесса) во встроенном варианте библиотеки Expat, связанные с возможностью переполнения буфера в момент парсинга XML-данных, содержащих некорректные последовательности символов в UTF-8.

Исправления, представленные в Apache 2.2.17:

• В prefork MPM исправлена проблема с обработкой последнего запроса, в случае gracefull-перезапуска;
• В mod_reqtimeout неправильно выставлялись таймауты для соединений через mod_proxy и обработчиков протоколов, подобных mod_ftp;
• В Proxy-балансировщике добавлена поддержка установки кода HTTP-ошибки на основании данных HTTP-ответа от бэкенда;
• В mod_authnz_ldap при установке директивы AuthLDAPCharsetConfig теперь перекодированию в UTF-8 подлежат также и пароли;
• Добавлена проверка владельца символических ссылок, в случае когда одновременно активны директивы FollowSymlinks и SymlinksIfOwnerMatch;
• Исправлена проверка происхождения ссылки в SymlinksIfOwnerMatch;
• В mod_headers включена опция замены нескольких подпадающих под маску значений (multi-match-and-replace);
• В mod_log_config при указании ${cookie}C совпадения ищутся только среди имен cookie, вместо поиска подстроки по всем данным;
• В mod_dir и mod_negotiation обеспечено прохождение информации о выходном фильтре для вновь созданных подзапросов, что позволяет впоследствии использовать их в роли полноценных запросов в рамках внутреннего редиректа;
• В коде ротации логов устранено потенциальное переполнение буфера, при задании администратором в файле конфигурации множественного файлового пути к логам.
• В mod_ssl устранено перекрытие вызова memcpy;
• При обработке заголовка "Host:" c цифровыми данными, часть этих данных больше не воспринимается при определенных ситуациях как номер порта;
• Представлена ранее недокументированная опция httpd "-T", позволяющая отключить проверку на наличие DocumentRoot в момент запуска.