In Apache httpd 2.4.67 wurde eine Schwachstelle in HTTP/2 behoben, die eine remote Codeausführung nicht ausschließt.

Die Veröffentlichung des HTTP-Servers Apache 2.4.67 behebt 11 Sicherheitsanfälligkeiten und enthält mehrere Korrekturen. Die gefährlichste Sicherheitsanfälligkeit (CVE-2026-23918) wird durch doppeltes Freigeben von Speicher im Modul mod_http2 verursacht und könnte potenziell zu einer Remote-Codeausführung auf dem Server durch Manipulation des HTTP/2-Protokolls führen. Die Sicherheitsanfälligkeit tritt nur in der Version 2.4.66 auf. Ein Risiko von 8,8 von 10 wurde für das Problem eingestuft.

Eine weitere Sicherheitsanfälligkeit (CVE-2026-24072) mit einem Risiko von 8,8 ist im Modul mod_rewrite vorhanden und ermöglicht es lokalen Benutzern Hosting, die das Recht haben, .htaccess-Dateien zu erstellen, den Inhalt beliebiger Dateien im System mit den Berechtigungen des Benutzers zu lesen, unter dem der httpd-Prozess ausgeführt wird.

Weniger kritische Schwachstellen:

• CVE-2026-28780 — ein Pufferüberlauf in mod_proxy_ajp, der ausgenutzt werden kann, wenn der Proxy mit einem bösartigen AJP-Server verbunden ist. Durch das Senden speziell gestalteter AJP-Nachrichten (Apache JServ Protocol) kann erreicht werden, dass 4 Byte über den zugewiesenen Puffer hinaus geschrieben werden.
• CVE-2026-33523 — die Möglichkeit, eine HTTP-Antwortsplitting-Attacke in Frontend-Backend-Systemen durchzuführen, die das Einfügen zusätzlicher Antwortheader oder das Splitting von Antworten ermöglicht, um sich in die Inhalte der Antworten anderer Benutzer einzuschleichen, die im selben Stream zwischen dem Frontend und dem Backend verarbeitet werden.
• CVE-2026-33006 — eine Seitenkanalangriff (Latenzanalyse) auf mod_auth_digest, der es ermöglicht, die Digest-Authentifizierung zu umgehen.
• CVE-2026-29168 — fehlende angemessene Begrenzung der zugewiesenen Ressourcen bei der Verarbeitung einer speziell gestalteten OCSP-Antwort in mod_md.
• CVE-2026-29169 — Dereferenzierung eines null-Pointers im Modul mod_dav_lock, die verwendet werden kann, um den Serverprozess zum Absturz zu bringen.
• CVE-2026-33007 — Dereferenzierung eines null-Pointers im Modul mod_authn_socache, die dazu genutzt werden kann, den Absturz des Kindprozesses in Konfigurationen mit einem caching Proxy zu provozieren.
• CVE-2026-33857 — das Lesen eines Bytes aus dem Speicher außerhalb des zugewiesenen Puffers im Modul mod_proxy_ajp.
• CVE-2026-34032 — das Lesen von Daten aus dem Speicher außerhalb des zugewiesenen Puffers aufgrund fehlender Überprüfung des null-Beendigungssymbols im mod_proxy_ajp.
• CVE-2026-34059 — Speicherinhalt-Leck im mod_proxy_ajp.

Außerdem wurden in der neuen Version nicht sicherheitsrelevante Fehler in mod_http2 und mod_md behoben, sowie neue MIME-Typen in die Datei conf/mime.types aufgenommen: vnd.sqlite3, HEIC, HEIF.

Quelle: opennet.ru