Software-update: Apache 2.0.55

Het ontwikkelteam van het Apache HTTP Server Project heeft onlangs een nieuwe versie uitgegeven van hun Apache HTTP-server. Deze webserver wordt op veel platformen gebruikt en heeft onder andere ondersteuning voor PHP. Het versienummer is aangekomen bij 2.0.55 en is voorzien van de volgende aankondiging:

This version of Apache is principally a security release. The following potential security flaws are addressed, the first three of which address several classes of HTTP Request and Response Splitting/Spoofing attacks:

• CAN-2005-2088
  core: If a request contains both Transfer-Encoding and Content-Length headers, remove the Content-Length.
  proxy_http: Correctly handle the Transfer-Encoding and Content-Length request headers. Discard the request Content-Length whenever chunked T-E is used, always passing one of either C-L or T-E chunked whenever the request includes a request body.
• Unassigned
  proxy_http: If a response contains both Transfer-Encoding and a Content-Length, remove the Content-Length and don't reuse the connection.
• CAN-2005-2700
  mod_ssl: Fix a security issue where "SSLVerifyClient" was not enforced in per-location context if "SSLVerifyClient optional" was configured in the vhost configuration.
• CAN-2005-2491
  pcre: Fix integer overflows in PCRE in quantifier parsing which could be triggered by a local user through use of a carefully crafted regex in an .htaccess file.
• CAN-2005-2728
  Fix cases where the byterange filter would buffer responses into memory.
• CAN-2005-1268
  mod_ssl: Fix off-by-one overflow whilst printing CRL information at "LogLevel debug" which could be triggered if configured to use a "malicious" CRL.

The Apache HTTP Project thanks all of the reporters of these issues and vulnerabilities for the responsible reporting and thorough analysis of these vulnerabilities.

This release further addresses a number of cross-platform bugs, as well as specific issues on OS/X 10.4, Win32, AIX, and across all EBCDIC platforms, and adds compatibility with OpenSSL 0.9.8.

This release is compatible with modules compiled for 2.0.42 and later versions. We consider this release to be the best version of Apache available and encourage users of all prior versions to upgrade.

This release includes the Apache Portable Runtime library suite release version 0.9.7, bundled with the tar and zip distributions. These libraries; libapr, libaprutil, and on Win32, libapriconv must all be updated to ensure binary compatibility and address many known platform bugs.

Versienummer	2.0.55
Besturingssystemen	Windows 9x, Windows NT, Windows 2000, Linux, BSD, Windows XP, macOS, OS/2, Solaris, UNIX, Windows Server 2003
Website	Apache Software Foundation
Download	http://httpd.apache.org/download.cgi
Licentietype	Voorwaarden (GNU/BSD/etc.)

Reacties (16)

[JeRa]

...en heeft onder andere ondersteuning voor PHP.

Is het niet andersom?

[.daan]

Nee, PHP wordt door de server software geinterpreteerd, dus Apache ondersteund PHP, en niet andersom. Dacht ik tenminste.

[Verwijderd]

Klopt, Apache bied de mogelijkheid tot het inladen van een module voor PHP ondersteuning.

[Ansur]

Denk het ook, serversoftware zal bepaalde voorzieningen treffen voor plugins (à la PHP), maar niet andersom.

@Daan_B: php wordt door een php-interpreter geïnterpreteerd, wat op de server gebeurd, maar niet specifiek door de serversoftware.

[CyberSnooP]

Grappige discussie, maar Apache heeft eigenlijk niet echt specifiek ondersteuning voor PHP. Apache kent gewoon methoden waardoor de webpagina's uit andere code kunnen komen, zoals bijvoorbeeld speciale Apache modules of losstaande executables (via CGI).

PHP kan beide methodes gebruiken om zich met apache te mengen. Maar omdat die apache modules vrij apache specifiek zijn zou ik zeggen dat PHP expliciet Apache ondersteuning heeft ingebouwd en Apache vooral een mechanisme biedt voor applicaties zoals PHP.

[Darude1234]

Als je een beetje logisch nadenkt: Apache is de server die de scripts moet uitvoeren dus Apache moet ondersteuning voor PHP hebben. PHP is alleen een scripttaal waarin je bepaalde opdrachten geeft, maar die worden door de server uitgevoerd

[YaPP]

PHP kan uitgevoerd worden als lossstaand programma (php.exe) of in apache als mod_php ingeladen worden. Voor IIS loopt de soortgelijke uitbreiding via PHP-ISAPI.

De vraag is natuurlijk, wie maakt mod_php? Het antwoord is volgens mij PHP zelf, dus is het inderdaad andersom. Die zin "Apache heeft ondersteuning voor PHP" zal wel bedoeld zijn voor de newbees die nooit van Apache gehoord hebben.

[EelCapone]

Gewoon niet de installer gebruiken, maar het ZIP bestand Als er een update is, hernoem je de C:\Program Files\Apache map naar C:\Program Files\Apache.bak ofzo, en extract je de nieuwe versie naar C:\Program Files\Apache. Je moet dan alleen ff (eenmalig) handmatig de Apache-service registreren:

apache.exe -k install

En ff een shortcut in de Opstarten-map in je Start Menu maken naar ApacheMonitor.exe

[PipoDeClown]

toch wel jammer dat apache.org geen ssl enabled versie uitbrengt. dan houd ik http://hunter.campbus.com/ maar weer in de gaten voor een win32 met ssl (binary).

edit:
er staat een Apache_2.0.55-Openssl_0.9.8a-Win32.zip

[Venga AB]

Waarom zouden ze zich daar zelf mee bezig houden als er twee perfecte mogelijkheden zijn?
Apache-SSL, een modificatie gebaseerd op Apache http://www.apache-ssl.org
of
mod_ssl, welke als module geladen kan worden binnen Apache http://www.modssl.org/


Die Hunter is ook niets anders dan een kant en klare package van één van bovenstaande.

[Olaf van der Spek]

Beide zijn toch voor Apache 1 en niet voor 2?

[sergefonville]

Voor Apache 2 op Windows:

Voor de SSL setup guide
http://www.devx.com/opensource/Article/20085/0/page/2

Voor de Download met SSL geïntegreerd
http://hunter.campbus.com/

[CAP-Team]

Is het met deze versie nu al mogelijk om een bestaande installatie te upgraden? Eerst deïnstalleren en daarna opnieuw installeren is niet zo heel erg handig..

En ik heb het dan over Apache in een Windows omgeving

[Olaf van der Spek]

Nee.
Ik snap niet waarom dat zo dom geregeld is.

[WEBsel]

Is de windows smaak nu wel even stabiel als de linux? Of kan ik voor productie beter uit de 1.x draaien?

[EelCapone]

Ik draai al een jaar of 2 diverse virtual hosts probleemloos op Apache2 op een Windows platform. De eerste releases van Apache2 draaiden idd niet goed onder Windows, zeker i.c.m. PHP. Dit is echter alweer een tijdje opgelost (sinds versie 2.0.40 geloof ik).