Apache httpd 2.4.67-s on kõrvaldatud haavatavus HTTP/2-s, mis ei välista kaugete koodide täitmist.

Esitatud on HTTP-serveri Apache 2.4.67 väljaanne, milles on kõrvaldatud 11 haavatavust ja tehtud mitmeid parandusi. Kõige ohtlikum haavatavus (CVE-2026-23918) on põhjustatud mälule eraldamise topelt vabastamisest mod_http2 moodulis ja see võib potentsiaalselt viia kaugkäitamise koodi serveris läbi HTTP/2 protokolli manipuleerimise. Haavatavus avaldub ainult väljaandes 2.4.66. Probleemile on antud ohtlikkuse tase 8.8 skaalal 10.

Veel üks haavatavus (CVE-2026-24072) ohtlikkuse tasemega 8.8 esineb mod_rewrite moodulis ja võimaldab kohalikel kasutajatel hostimist, kellel on õigus luua «.htaccess» faile, lugeda süsteemis mis tahes failide sisu, mille õigustega töötab httpd protsess.

Vähem ohtlikud haavatavused:

• CVE-2026-28780 — puhverdamise ülevool mod_proxy_ajp-s, mida saab ära kasutada, kui ühendatakse proksiga pahatahtlik AJP-server. Spetsiaalselt vormindatud AJP-sõnumite (Apache JServ Protokoll) edastamise kaudu on võimalik saavutada 4 baitide kirjutamine eraldatud puhversäilitusest üle.
• CVE-2026-33523 — HTTP vastuse jagamise rünnaku võimalus front-end-back-end süsteemides (HTTP response splitting), mis võimaldab lisada täiendavaid vastusepealkirju või jagada vastuseid, et siseneda teiste kasutajate vastusesse, mida töödeldakse samas voos front-end'i ja back-end'i vahel.
• CVE-2026-33006 — külgkanali rünnak (viivituste analüüs) mod_auth_digest-s, mis võimaldab mööda minna Digest- autentimisest.
• CVE-2026-29168 — puudulik ressursside eraldamise piirang spetsiaalselt vormindatud OCSP vastuse töötlemisel mod_md-s.
• CVE-2026-29169 — nullviidatud de-referentsimine mod_dav_lock moodulis, mida saab kasutada serveriprotsessi kokkuvarisemise põhjustamiseks.
• CVE-2026-33007 — nullviidatud de-referentsimine mod_authn_socache moodulis, mida saab kasutada lastprotsessi kokkuvarisemise põhjustamiseks konfiguratsioonides, kus on vahemälu proks.
• CVE-2026-33857 — ühe baitide lugemine mälust eraldatud puhversäilituse välistest kohtadest mod_proxy_ajp-s.
• CVE-2026-34032 — mälust andmete lugemine eraldatud puhversäilituse välistest kohtadest, kuna puudub sellele järele vaadata null-sümbol lõpu kontroll.
• CVE-2026-34059 — mälusisalduse lekke probleem mod_proxy_ajp-s.

Lisaks on uues väljaandes parandatud mitteohutust seotud vea mod_http2 ja mod_md ning lisatud uusi MIME-tüüpe faili conf/mime.types: vnd.sqlite3, HEIC, HEIF.

Allikas: opennet.ru