Apache HTTP Server 2.4.51 发布，修复安全漏洞，建议用户尽快升级

今天中午看到群里有网友在讨论Apache HTTP Server 2.4.51新版本发布，建议更新升级。如果有使用早期版本的服务器，可能需要升级安全。该版本涉及安全漏洞。Apache HTTP 2.4.50中针对CVE-2021-41773的补丁不完整，导致出现新的漏洞CVE-2021-42013。攻击者可以使用遍历攻击，将URL映射到别名类指令配置的目录之外的文件。

这会导致目录外的文件绕过默认的“require all denied”配置，从而导致对这些文件的遍历请求。如果这些别名启用了CGI脚本路径，则可以实现远程代码执行。

受影响的版本：

该漏洞影响Apache 2.4.49和Apache 2.4.50，早期版本不受影响。因此，有时候我们不升级会更安全，但当然最好还是保留最新版本。

已修复问题：

Apache HTTP Server 2.4.51 已经发布，2.4.51 主要修复了 2.4.50 中发现的安全问题，所以主要的变更都在 2.4.50 中，包括修复安全问题和一些 Bug，以及增强功能。

1. mod_rewrite：修复 [P] 规则的 UDS（“unix:”）方案

2. 事件 mpm: 如果子进程由于 MaxConnectionsPerChild 而停止，则父进程中活跃的子进程可以正确计算

3. mod_http2：当服务器正常重启时，任何空闲的 h2 工作线程都会立即关闭。此外，OpenSSL API 的使用已更改，以解决 OpenSSL 3.0 中的弃用问题，并添加了所有其他 API。

4. mod_dav：正确处理 REPORT 请求中 dav 提供程序返回的错误

5. core：不要在次级连接上安装核心输入/输出过滤器

6. 核心：添加 ap_pre_connection() 作为 ap_run_pre_connection() 的包装器，以防止运行 pre_connection 钩子失败导致随后崩溃

7. mod_speling：添加 CheckBasenameMatch PR 44221

如果需要升级，请备份数据。