Objavljena je verzija HTTP poslužitelja Apache 2.4.67 koja ispravlja 11 sigurnosnih propusta i nekoliko bugova. Najopasniji propust (CVE-2026-23918) uzrokovan je dvostrukim oslobađanjem memorije u modulu mod_http2 i potencijalno može dovesti do daljinskog izvršavanja koda na poslužitelju kroz manipulaciju protokolom HTTP/2. Propust se javlja samo u izdanju 2.4.66. Problemu je dodijeljena razina opasnosti 8.8 od 10.
Još jedan propust (CVE-2026-24072) s razinom opasnosti 8.8 prisutan je u modulu mod_rewrite i omogućava lokalnim korisnicima hostinga, koji imaju pravo stvarati datoteke «.htaccess», da pročitaju sadržaj bilo kojih datoteka u sustavu s privilegijama korisnika pod kojim je pokrenut proces httpd.
Manje opasni propusti:
- CVE-2026-28780 — prelivanje bafera u mod_proxy_ajp, koje se može iskoristiti pri povezivanju proksija s malicioznim AJP poslužiteljem. Slanjem posebno oblikovanih AJP poruka (Apache JServ Protocol) moguće je postići upis od 4 bajta izvan dodijeljenog bafera.
- CVE-2026-33523 — mogućnost izvođenja napada dijeljenja HTTP odgovora na sustavima front-end-backend (HTTP response splitting), što omogućava umetanje dodatnih odgovora ili dijeljenje odgovora kako bi se ušlo u sadržaj odgovora drugih korisnika obrađenih u istom toku između front-enda i back-enda.
- CVE-2026-33006 — napad putem bočnih kanala (analiza latencije) na mod_auth_digest, što omogućava zaobilaženje Digest autentifikacije.
- CVE-2026-29168 — nedostatak odgovarajućeg ograničenja resursa tijekom obrade posebno oblikovanog OCSP odgovora u mod_md.
- CVE-2026-29169 — dereferenciranje nultog pokazivača u modulu mod_dav_lock, koje se može iskoristiti za uzrokovanje izvanrednog završetka procesa poslužitelja.
- CVE-2026-33007 — dereferenciranje nultog pokazivača u modulu mod_authn_socache, koje se može iskoristiti za uzrokovanje izvanrednog završetka dječjeg procesa u konfiguracijama s keširanim proksijem.
- CVE-2026-33857 — čitanje jednog bajta iz memorije izvan dodijeljenog bafera u modulu mod_proxy_ajp.
- CVE-2026-34032 — čitanje podataka iz memorije izvan dodijeljenog bafera zbog nedostatka provjere završnog nultog znaka u mod_proxy_ajp.
- CVE-2026-34059 — curenje sadržaja memorije u mod_proxy_ajp.
Osim toga, u novom izdanju ispravljene su greške koje nisu povezane s sigurnošću u mod_http2 i mod_md, a novi MIME tipovi dodani su u datoteku conf/mime.types: vnd.sqlite3, HEIC, HEIF.
Izvor: opennet.ru
