Az Apache HTTP Server projekt kiadott egy javító verziót httpd 2.4.67, amely a CVE-2026-23918 HTTP/2 implementációjában található biztonsági rést orvosolja. A probléma fontos important osztályú hibával kapcsolatos double free a HTTP/2 kapcsolat korai törlésének feldolgozása során. Kedvezőtlen körülmények között a hiba nemcsak a munkafolyamat összeomlását okozhatja, hanem potenciális távoli kódvégrehajtást.
is lehetővé tesz, az Apache leírása szerint a sérülékenység érinti Apache HTTP Server 2.4.66. A felhasználóknak ezt a verziót javasolt frissíteni 2.4.67, ahol a probléma javítva lett. A hibát felfedezők között szerepel Bartlomiej Dmitruk a striga.ai-től és Stanislaw Strzalkowski az isec.pl-től.
A kiadás changelogjában is fel van tüntetve a frissítés mod_http2 a verzió előtt 2.0.37, ahol megakadályozták a folyamat újbóli törlését, ami double free-t okozott, mindezt 2.0.38-ra és 2.0.39-re is vonatkozóan. A CVE-2026-23918 mellett a kiadás számos egyéb biztonsági problémát is orvosol a mod_proxy_ajp, mod_auth_digest, mod_authn_socache, mod_md, mod_rewrite és más komponensekben.
Kibocsátás Az Apache httpd 2.4.67 2026. május 4-én került kiadásra, és a 2.4.x stabil ág aktuálisan ajánlott verziójaként van nyilvántartva. Azoknak az adminisztrátoroknak, akik Apache-t használnak HTTP/2-vel, a frissítést prioritásként kell kezelni, különösen, ha már aktívan használják a 2.4.66-ot.
Forrás: linux.org.ru
