I Apache httpd 2.4.67 er en sårbarhed i HTTP/2 blevet løst, som kunne føre til fjernudførelse af kode

Apache HTTP-server 2.4.67 er blevet udgivet, som løser 11 sårbarheder og indeholder flere rettelser. Den mest kritiske sårbarhed (CVE-2026-23918) skyldes dobbeltfrigivelse af hukommelse i modulet mod_http2 og kan potentielt føre til fjernudførelse af kode på serveren gennem manipulation med HTTP/2-protokollen. Sårbarheden optræder kun i version 2.4.66. Problemet er vurderet til en faregrad på 8.8 ud af 10.

Endnu en sårbarhed (CVE-2026-24072) med en faregrad på 8.8 findes i modulet mod_rewrite, hvilket gør det muligt for lokale brugere hosting, der har tilladelse til at oprette " .htaccess"-filer, at læse indholdet af enhver fil i systemet med privilegierne til den bruger, som httpd-processen kører under.

Mindre farlige sårbarheder:

• CVE-2026-28780 — bufferoverløb i mod_proxy_ajp, som kan udnyttes når en proxy opretter forbindelse til en ondsindet AJP-server. Ved at sende specielt formaterede AJP-beskeder (Apache JServ Protocol) kan det opnås at skrive 4 byte uden for den tildelte buffer.
• CVE-2026-33523 — mulighed for angreb gennem HTTP-responsopdeling i front-end-backend-systemer (HTTP response splitting), som gør det muligt at indføre yderligere svaroverskrifter eller opdele svar for at blande sig i indholdet af svar fra andre brugere, der behandles i den samme strøm mellem front-end og backend.
• CVE-2026-33006 — udnyttelse af sideløbne kanaler (forsinkelsesanalyse) på mod_auth_digest, der gør det muligt at omgå Digest-godkendelse.
• CVE-2026-29168 — manglende korrekt ressourcebegrænsning ved behandling af specielt formaterede OCSP-svar i mod_md.
• CVE-2026-29169 — dereferering af en nul-peger i modulet mod_dav_lock, som kan bruges til at fremkalde en nedbrud af serverprocessen.
• CVE-2026-33007 — dereferering af en nul-peger i modulet mod_authn_socache, som kan bruges til at fremkalde en nedbrud af barnprocessen i konfigurationer med cache-proxy.
• CVE-2026-33857 — læsning af et byte fra hukommelsen uden for den tildelte buffer i modulet mod_proxy_ajp.
• CVE-2026-34032 — læsning af data fra hukommelsen uden for den tildelte buffer på grund af mangel på kontrol af afsluttende nul-tegn i mod_proxy_ajp.
• CVE-2026-34059 — hukommelsesindholdlækage i mod_proxy_ajp.

Derudover er der i den nye udgave rettet ikke-sikkerhedsrelaterede fejl i mod_http2 og mod_md, og der er tilføjet nye MIME-typer i filen conf/mime.types: vnd.sqlite3, HEIC, HEIF.

Kilde: opennet.ru