Apache httpd 2.4.67 parandab RCE võimaldava haavatavuse HTTP/2-s

Apache HTTP Server projekt on välja andnud paranduste versiooni httpd 2.4.67, kus on kõrvaldatud haavatavus CVE-2026-23918 HTTP/2 teostuses. Probleem on hinnatud tasemele important ja seotud double free viga, mis tekkis ühenduse varajase katkestamise käsitlemisel HTTP/2-s. Ebasoodsates tingimustes võib see viga mitte ainult põhjustada tööprotsessi kokkuvarisemise, vaid ka potentsiaalset kaugtäideviimist.

Apache'i kirjelduse kohaselt mõjutab see haavatavus Apache HTTP Server 2.4.66. Kasutajatel, kellel on see versioon, soovitatakse uuendada versioonini 2.4.67, kus probleem on parandatud. Haavatavuse tuvastajateks on Bartlomiej Dmitruk striga.ai-st ja Stanislaw Strzalkowski isec.pl-st.

Versiooni muutuste loendis on samuti märgitud uuendus mod_http2 versioonini 2.0.37, kus on ennetatud voolu korduvat puhastamist, mis viis double free, ja seetõttu versioonidele 2.0.38 ja 2.0.39. Lisaks CVE-2026-23918 sulgeb väljaanne mitmed teised turvaprobleemid mod_proxy_ajp, mod_auth_digest, mod_authn_socache, mod_md, mod_rewrite ja muude komponentide osas.

Väljalase Apache httpd 2.4.67 avalikustatud 4. mail 2026 ja kuulutatud 2.4.x stabiilse haru praeguseks soovitatavaks versiooniks. Administratorid, kes kasutavad Apache'i koos aktiveeritud HTTP/2-ga, peaksid kaaluma värskendamist prioriteedina, eriti kui juba on kasutusel 2.4.66.

Allikas: linux.org.ru