停滯將近三年後，Apache 2.0系列發布最後的更新版本

昨天，Apache發布了其2.0系列的最後一個新版本，這距2010/10/18上一次更新2.0.64後，將近三年沒發布新的版本了。

這次更新，將是2.0系列最後一次錯誤和安全漏洞的更新。更新雖然包括了很多錯誤和安全漏洞的修正，但是並沒有完全解決當前的2.4和舊的2.2中發現的全部問題。

本次更新建議所有還在使用2.0系列Apache的用戶都更新，或者，建議升級到2.4。

主要的更新內容如下：

• CVE-2013-1862: mod_rewrite: 確保客戶端寫入RewriteLog的數據被正確轉義，防止直接放入終端轉義碼。
• CVE-2012-0053: 修正了當沒有定製的400錯誤頁面時，對httpOnly的cookie的處理。
• CVE-2012-0031: 修正了計分板錯誤，它會導致關機時無特權子進程終止導致父進程崩潰的問題。
• CVE-2011-3368: 拒絕不符合HTTP規範的請求，以防止一些特定的反向代理帶來的問題。
• CVE-2011-3192: core: 修正斷點請求的處理以使用更少內存。如果請求的位元組範圍超過了原文件大小，忽略範圍參數，直接發送完整的文件。
• CVE-2011-3607: 修正 ap_pregsub() 中的整形溢出，當激活 mod_setenvif 時，它可能會導致本地用戶通過.htaccess獲取到許可權。
  注意：使用精心構造的.htaccess文件仍然有可能耗盡所有內存，這個問題不會在2.0中得到解決。允許root處理不可信用戶的.htaccess本身就是一種安全風險。建議升級到2.2.25及更高版本解決這個問題。

通過下述鏈接下載：http://httpd.apache.org/download.cgi

完整的修正內容參見： http://www.apache.org/dist/httpd/CHANGES_2.0

安全漏洞方面說明：http://httpd.apache.org/security/vulnerabilities_20.html

本文轉載來自 Linux 中國: https://github.com/Linux-CN/archive