В Apache httpd 2.4.67 е коригирана уязвимост в HTTP/2 с възможност за RCE

Проектът Apache HTTP Server публикува коригиращ релиз httpd 2.4.67, в който е отстранена уязвимостта CVE-2026-23918 в реализацията на HTTP/2. Проблемата получи ниво на важност важно и е свързана с грешка от клас двойно освобождаване при обработка на сценарий за ранно нулиране на връзката в HTTP/2. При неблагоприятни условия, грешката може да доведе не само до аварийно приключване на работния процес, но и до потенциално дистанционно изпълнение на код.

Според описанието на Apache, уязвимостта засяга Apache HTTP Server 2.4.66. Препоръчва се на потребителите на тази версия да се обновят до 2.4.67, където проблемът е отстранен. Откриващите уязвимостта са Bartlomiej Dmitruk от striga.ai и Stanislaw Strzalkowski от isec.pl.

В changelog на релиза също е отбелязано обновление на mod_http2 до версия 2.0.37, където е предотвратено повторното изчистване на потока, довело до двойно освобождаване, а след това до 2.0.38 и 2.0.39. В допълнение към CVE-2026-23918, изданието закрива редица други проблеми със сигурността в mod_proxy_ajp, mod_auth_digest, mod_authn_socache, mod_md, mod_rewrite и други компоненти.

Релиз Apache httpd 2.4.67 е публикуван на 4 май 2026 година и е обявен за текуща препоръчвана версия на стабилната версия 2.4.x. За администраторите, които използват Apache с активиран HTTP/2, обновлението трябва да се разглежда като приоритетно, особено ако вече е в експлоатация 2.4.66.

Източник: linux.org.ru