Das Apache HTTP Server-Projekt hat ein Korrektur-Release veröffentlicht httpd 2.4.67, in dem eine SicherheitsanfĂ€lligkeit behoben wurde CVE-2026-23918 in der HTTP/2-Implementierung. Das Problem hat eine Wichtigkeitsstufe erhalten hoch und hĂ€ngt mit einem Fehler der Klasse double free bei der Verarbeitung von Szenarien frĂŒhzeitiger Verbindungsunterbrechungen in HTTP/2 zusammen. Unter ungĂŒnstigen Bedingungen kann der Fehler nicht nur zum Absturz des Arbeitsprozesses fĂŒhren, sondern auch zu potenzieller Remote-CodeausfĂŒhrung.
Laut der Beschreibung von Apache betrifft die SicherheitsanfÀlligkeit Apache HTTP Server 2.4.66. Benutzern dieser Version wird empfohlen, auf 2.4.67, wo das Problem behoben wurde, zu aktualisieren. Als Entdecker der SicherheitsanfÀlligkeit werden Bartlomiej Dmitruk von striga.ai und Stanislaw Strzalkowski von isec.pl genannt.
Im Changelog der Veröffentlichung wird auch ein Update von mod_http2 bis zur Version 2.0.37, bei dem die mehrfache Bereinigung des Streams verhindert wurde, die zu einem double free fĂŒhrte, sowie auf 2.0.38 und 2.0.39. Neben CVE-2026-23918 schlieĂt das Release eine Reihe anderer Sicherheitsprobleme in mod_proxy_ajp, mod_auth_digest, mod_authn_socache, mod_md, mod_rewrite und anderen Komponenten.
Veröffentlichung Apache httpd 2.4.67 wurde am 4. Mai 2026 veröffentlicht und wird als aktuelle empfohlene Version des stabilen Branches 2.4.x betrachtet. FĂŒr Administratoren, die Apache mit aktiviertem HTTP/2 verwenden, sollte das Update als prioritĂ€r betrachtet werden, insbesondere wenn bereits 2.4.66 im Einsatz ist.
Quelle: linux.org.ru
