Une vulnérabilité dans HTTP/2, qui ne laisse pas échapper l'exécution de code à distance, a été corrigée dans Apache httpd 2.4.67

La version 2.4.67 du serveur HTTP Apache a été publiée, corrigeant 11 vulnérabilités et apportant plusieurs modifications. La vulnérabilité la plus critique (CVE-2026-23918) est causée par un double libération de mémoire dans le module mod_http2 et peut potentiellement entraîner l'exécution de code à distance sur le serveur via des manipulations du protocole HTTP/2. Cette vulnérabilité ne se manifeste que dans la version 2.4.66. Elle a été classée avec un niveau de gravité de 8,8 sur 10.

Une autre vulnérabilité (CVE-2026-24072) avec un niveau de gravité de 8,8 est présente dans le module mod_rewrite et permet aux utilisateurs locaux d'hébergement, qui ont le droit de créer des fichiers «.htaccess», de lire le contenu de n'importe quel fichier dans le système avec les privilèges de l'utilisateur sous lequel le processus httpd s'exécute.

Vulnérabilités moins dangereuses :

• CVE-2026-28780 — débordement de tampon dans mod_proxy_ajp, qui peut être exploité lors de la connexion d'un proxy à un serveur AJP malveillant. En envoyant des messages AJP (Apache JServ Protocol) spécialement formatés, il est possible de provoquer l'écriture de 4 octets en dehors de la zone de mémoire allouée.
• CVE-2026-33523 — possibilité d'attaques par séparation des réponses HTTP sur des systèmes frontend-backend (HTTP response splitting), permettant d'insérer des en-têtes supplémentaires dans les réponses ou de diviser les réponses pour interférer avec le contenu des réponses d'autres utilisateurs, traitées dans le même flux entre le frontend et le backend.
• CVE-2026-33006 — attaque par canaux auxiliaires (analyse des délais) sur mod_auth_digest, permettant de contourner l'authentification par mot de passe digest.
• CVE-2026-29168 — absence de restriction appropriée des ressources allouées lors du traitement d'une réponse OCSP spécialement formatée dans mod_md.
• CVE-2026-29169 — déréférencement d'un pointeur nul dans le module mod_dav_lock, pouvant être utilisé pour provoquer l'arrêt brutal du processus serveur.
• CVE-2026-33007 — déréférencement d'un pointeur nul dans le module mod_authn_socache, pouvant être utilisé pour provoquer l'arrêt brutal d'un processus fils dans des configurations avec proxy de mise en cache.
• CVE-2026-33857 — lecture d'un octet de mémoire en dehors de la zone allouée dans le module mod_proxy_ajp.
• CVE-2026-34032 — lecture de données en mémoire en dehors de la zone allouée en raison de l'absence de vérification du caractère nul de fin de chaîne dans mod_proxy_ajp.
• CVE-2026-34059 — fuite de contenu mémoire dans mod_proxy_ajp.

De plus, dans cette nouvelle version, des erreurs non liées à la sécurité dans mod_http2 et mod_md ont été corrigées, et de nouveaux types MIME ont été ajoutés au fichier conf/mime.types : vnd.sqlite3, HEIC, HEIF.

Source : opennet.ru