Apache HTTP Server 2.4.64: Sakkizta xavfli zaiflikka barham berilgan yangi yangilanish

Apache Software Foundation tomonidan chiqarilgan Apache HTTP Server 2.4.64 versiyasi server xavfsizligini jiddiy darajada kuchaytiruvchi muhim xavfsizlik yangilanishini o‘z ichiga oladi. Bu yangilanish orqali versiya 2.4.0 dan 2.4.63 gacha bo‘lgan barcha talqinlarda mavjud bo‘lgan sakkizta zaiflik tuzatildi. Ayniqsa, HTTP javoblarini bo‘lish (HTTP response splitting), server tomonidan yuboriladigan noto‘g‘ri so‘rovlar (SSRF) va xotirani haddan tashqari egallash orqali yuzaga keladigan xizmatdan chiqish (DoS) muammolari bartaraf etilgan.

Eng asosiy zaifliklardan biri bu — CVE-2024-42516 nomi bilan ro‘yxatdan o‘tgan HTTP response splitting xatoligi bo‘lib, Apache HTTP Server yadrosida aniqlangan. Hujumchi agar server yoki proksi orqali yuborilgan javobdagi Content-Type kabi sarlavhalarni manipulyatsiya qilsa, javoblarni ikkiga bo‘lib, foydalanuvchiga soxta ma’lumot yuborishi mumkin. Bu esa xakerlar uchun zararli sahifalar yaratish imkonini ochadi.

SSL/TLS sohasidagi muhim tuzatishlar

Apache’ning yangi versiyasi mod_ssl modulida aniqlangan ikki muhim zaiflikni ham bartaraf etdi:

  • CVE-2025-23048: TLS 1.3 sessiyalarini davom ettirish orqali ishonchli mijozlar ayrim virtual xostlardagi ruxsat nazoratlarini chetlab o‘tishi mumkin edi.
  • CVE-2025-49812: TLS yangilanishlarini noto‘g‘ri boshqarish natijasida xakerlar HTTP sessiyalarni o‘g‘irlashlari mumkin edi (man-in-the-middle attack).

Bundan tashqari, CVE-2024-47252 nomli boshqa zaiflik orqali foydalanuvchi tomonidan yuborilgan SSL ma’lumotlari log fayllariga maxsus belgilar orqali kiritilishi, jurnal fayllarini manipulyatsiya qilishga olib kelishi mumkin edi.

SSRF va NTLM xashlari sizib chiqish xavfi

Server-side request forgery (SSRF) bilan bog‘liq CVE-2024-43204 zaifligi mod_proxy va mod_headers sozlamalarining noto‘g‘ri ishlashi natijasida hujumchiga proksi orqali tashqi resurslarga so‘rov yuborishga imkon bergan.

Yana bir SSRF zaifligi — CVE-2024-43394 — ayniqsa Windows operatsion tizimida xavfli bo‘lib, NTLM autentifikatsiya xashlari UNC manzillar orqali sizib chiqishi mumkin edi.

Xizmatdan chiqish (DoS) zaifliklari

Apache HTTP Server 2.4.64 quyidagi xizmatdan chiqish xatarlariga qarshi ham tuzatmalar kiritdi:

  • CVE-2025-49630: ProxyPreserveHost yoqilgan holatda HTTP/2 backend proksi konfiguratsiyasidagi noto‘g‘ri holat serverda assertion xatolarini keltirib chiqarishi mumkin.
  • CVE-2025-53020: Xotirani kech ozod qilish orqali tizimni xotira orqali sekinlashtirish yoki ishdan chiqarish xavfi.

✅ Tavsiya: Apache HTTP Server’ni zudlik bilan yangilang

2.4.0 dan 2.4.63 gacha bo‘lgan barcha versiyalarda ushbu zaifliklar mavjud. Shu sababli, barcha foydalanuvchilarga, ayniqsa web serverlarida Apache HTTP Server’ni ishlatayotgan kompaniyalarga, yangilanishni darhol o‘rnatish tavsiya etiladi. Bu nafaqat tizim barqarorligi, balki ma’lumot xavfsizligi va mijoz ishonchi uchun ham muhimdir.