Apache http-serveri 2.4.68 väljaanne, mis eemaldab 13 haavatavust

Esitatud on Apache HTTP-serveri versioon 2.4.68, milles on kõrvaldatud 13 turvaauku ja tehtud mitmeid muudatusi.

Kasutatud turvaaugud (esimesed 6 on mõõduka ohu tasemega, ülejäänud on madala ohutasemega):

• CVE-2026-34355 — puhmemälu ületäitumine mod_proxy_html'is, mis ilmneb rünnakuga kontrollitud tagapinna juurde pääsemisel.
• CVE-2026-49975 — teenuse mitteosutamine kogu protsessile kergesti kätte saadava mälu ammendumise tõttu.
• CVE-2026-44186 — lõputu silmus mod_proxy_ftp moodulis, mida saab ära kasutada, kui pääseda ründaja kontrolli all olevale FTP-serverile.
• CVE-2026-44119 — kohalikud kasutajad, kellel on õigused .htaccess failide loomisele, võivad lugeda httpd kasutajapoolse privileegi sisaldavaid faile.
• CVE-2026-43951 — protsessi kokkuvarisemine lugedes mälu alalt, mis ületab eraldatud puhmemälu mod_headers'is ja mod_mime'is.
• CVE-2026-42535 — haavatavus mod_dav_fs'is, mis võimaldab WebDAV sisu autoritel pääseda kausta, mis nõuab kõrgendatud õigusi.
• CVE-2026-29167 — mälu juurde pääsemine pärast selle vabastamist mod_ldap'is.
• CVE-2026-29170 — veebisaitide vaheline skriptimine mod_proxy_ftp'is.
• CVE-2026-34356 — puhmemälu ületäitumine ProxyPassReverseCookieMap'i teostuses.
• CVE-2026-42536 — puhkeülevool mod_xml2enc-is.
• CVE-2026-44185 — lugemine puhkelauast välja mod_ssl-is, kui rünnake esitab päringuid OCSP-serverile.
• CVE-2026-44631 — puhkeülevool regulaaravalduste töötlemisel konfigureerimisel.
• CVE-2026-48913 — mälu juurde pääsemine pärast selle vabastamist mod_http2-s, mis toimub, kui failides on ressursid ammendatud.

Turvalisusega mitteseotud täiustuste seas:

• mod_ssl-is ja ab-utiliidis on lisatud OpenSSL 4.0 tugi.
• mod_ssl-is on lisatud SerialNumber atribuutide tüübi tuvastamine.
• ErrorLogFormat direktiivi on lisatud toega asendus «%{m}t» logis millisekundilise täpsusega aja näitamiseks.
• mod_http2 moodul on uuendatud versioonile 2.0.42.

Allikas: opennet.ru