Apache httpd 2.4.67 lahendab HTTP/2 haavatavuse, mis ei välista kaugkasutust.

Välja anti HTTP-serveri Apache 2.4.67, milles on kõrvaldatud 11 haavatavust ja tehtud mitmeid parandusi. Kõige ohtlikum haavatavus (CVE-2026-23918) on põhjustatud mälu kahekordsest vabastamisest mod_http2 moodulis ja võib potentsiaalselt viia kaugkoodi täitmiseni serveris HTTP/2 protokolli manipuleerimise kaudu. Haavatavus ilmneb ainult väljaandes 2.4.66. Probleemile on määratud ohtlikkuse tase 8,8 10-st.

Veel üks haavatavus (CVE-2026-24072) ohtlikkuse tasemega 8.8 on olemas mod_rewrite moodulis ja võimaldab kohalikel kasutajatel hostingu, kellel on õigus luua faile „.htaccess“, lugeda süsteemi kõigi failide sisu, kasutades httpd-protsessi õigusi.

Vähem ohtlikud haavatavused:

• CVE-2026-28780 – puhverdusülekanne mod_proxy_ajp-s, mida saab kasutada, kui proxy on ühendatud pahatahtliku AJP-serveriga. Spetsiaalselt vormindatud AJP-sõnumite (Apache JServ Protocol) edastamise kaudu on võimalik saavutada 4 baitide kirjutamine eraldatud puhvri piiridest.
• CVE-2026-33523 – HTTP vastuste jagamise rünnakute võimalus front-end/back-end süsteemides (HTTP response splitting), mis võimaldab saavutada lisapealkirjade paigaldamist vastusele või jagada vastuseid, et sisestada teisi kasutajaid sama voo töötlemise ajal frontendi ja backend vahel.
• CVE-2026-33006 – kõrvalkanali rünnak (viivituste analüüs) mod_auth_digest'i vastu, mis võimaldab ületada Digest-autentimise.
• CVE-2026-29168 – puuduliku ressursside piiramise puudumine spetsiaalselt vormindatud OCSP vastuse töötlemisel mod_md-s.
• CVE-2026-29169 – nullpointeri dereferents, mida saab kasutada serveriprotsessi kokkukukkumise tekitamiseks mod_dav_lock moodulis.
• CVE-2026-33007 – nullpointeri dereferents mod_authn_socache moodulis, mida saab kasutada lapseprotsessi kokkukukkumise põhjustamiseks sätetega, kus on vahemälu proxy.
• CVE-2026-33857 – ühe baitide lugemine mälu eraldumise piiridest mod_proxy_ajp-s.
• CVE-2026-34032 – andmete lugemine mälu eraldumise piiridest nullpartikli lõpu märgi kontrollimise puudumise tõttu mod_proxy_ajp-s.
• CVE-2026-34059 – mälusisalduse leke mod_proxy_ajp-s.

Lisaks on uues väljaandes kõrvaldatud mitteohutusega seotud vead mod_http2-s ja mod_md-s, samuti on lisatud uusi MIME-tüüpe failile conf/mime.types: vnd.sqlite3, HEIC, HEIF.

Allikas: opennet.ru