Objavljen je Apache HTTP server 2.4.68, u kojem je ispravljeno 13 ranjivosti i izvršene su nekoliko promjena.
Ispravljene ranjivosti (prvih 6 ima umjereno visok nivo opasnosti, dok su ostale niske):
- CVE-2026-34355 — prelivanje bafera u mod_proxy_html, koje se manifestuje prilikom pristupanja backendu koji kontrolira napadač.
- CVE-2026-49975 — uskraćivanje usluge zbog iscrpljivanja sve dostupne memorije procesu.
- CVE-2026-44186 — beskonačno petljanje u modulu mod_proxy_ftp, iskorišteno prilikom pristupa FTP serveru pod kontrolom napadača.
- CVE-2026-44119 — lokalni korisnici sa pravima kreiranja .htaccess datoteka mogu čitati sadržaj datoteka s privilegijama korisnika httpd.
- CVE-2026-43951 — kolaps procesa zbog čitanja iz segmenata memorije izvan dodijeljenog bafera u mod_headers i mod_mime.
- CVE-2026-42535 — ranjivost u mod_dav_fs koja omogućava autorima sadržaja WebDAV pristup direktorijumu koji zahtijeva proširene privilegije.
- CVE-2026-29167 — pristup memoriji nakon njenog oslobađanja u mod_ldap.
- CVE-2026-29170 — međusajtno skriptiranje u mod_proxy_ftp.
- CVE-2026-34356 — prelivanje bafera u implementaciji ProxyPassReverseCookieMap.
- CVE-2026-42536 — prelivanje bafera u mod_xml2enc.
- CVE-2026-44185 — čitanje iz područja izvan bafera u mod_ssl prilikom slanja zahtjeva na OCSP server napadača.
- CVE-2026-44631 — prelivanje bafera prilikom obrade regularnih izraza u konfiguraciji.
- CVE-2026-48913 — pristup memoriji nakon njenog oslobađanja u mod_http2, koji se javlja prilikom iscrpljivanja dostupnih datotečnih opisnika.
Među poboljšanjima koja nisu povezana s sigurnošću:
- U mod_ssl i alatu ab uvedena je podrška za OpenSSL 4.0.
- U mod_ssl dodato je prepoznavanje tipa atributa SerialNumber.
- U direktivu ErrorLogFormat dodana je podrška za zamjenu «%{m}t» za prikaz vremena u logovima s preciznošću do milisekundi.
- Modul mod_http2 ažuriran je na verziju 2.0.42.
Izvor: opennet.ru
