Apache 2.4.68 izlaidums ar 13 ievainojamību novēršanu

Tika ir izlaists Apache HTTP servera 2.4.68 atjauninājums, kurā tiek novērstas 13 ievainojamības un veiktas dažas izmaiņas.

Novērstas ievainojamības (pirmie 6 ir ar vidēju bīstamību, pārējie – ar zemu):

• CVE-2026-34355 — bufera pārplūde mod_proxy_html modulī, kas parādās, piekļūstot uzbrucēja kontrolētai aizmugures daļai.
• CVE-2026-49975 — atteikums apkalpot, iztērējot visu pieejamo procesu atmiņu.
• CVE-2026-44186 — bezgalīga apakšprogrammas sagatavošana mod_proxy_ftp modulī, kas tiek izmantota, piekļūstot uzbrucēja kontrolētam FTP serverim.
• CVE-2026-44119 — vietējie lietotāji ar tiesībām izveidot .htaccess failus var lasīt failu saturu ar httpd lietotāja privilēģijām.
• CVE-2026-43951 — procesa avārija, lasot no atmiņas zonas ārpus piešķirtā bufera mod_headers un mod_mime modulī.
• CVE-2026-42535 — ievainojamība mod_dav_fs, kas ļauj WebDAV satura autoriem piekļūt katalogiem, kuriem nepieciešamas papildu privilēģijas.
• CVE-2026-29167 — piekļuve atmiņai pēc tās atbrīvošanas mod_ldap.
• CVE-2026-29170 — starpdomēnu skriptēšana mod_proxy_ftp.
• CVE-2026-34356 — bufera pārplūde ProxyPassReverseCookieMap realizācijā.
• CVE-2026-42536 — bufera pārplūde mod_xml2enc.
• CVE-2026-44185 — lasīšana no zonas ārpus bufera mod_ssl, veicot piekļuves piezīmes uz uzbrucēja OCSP serveri.
• CVE-2026-44631 — bufera pārplūde, apstrādājot regulāros izteicienus konfigurācijā.
• CVE-2026-48913 — piekļuve atmiņai pēc tās atbrīvošanas mod_http2, kas rodas pieejamo failu aprakstu izsīkšanas gadījumā.

Starptautiskos ar drošību nesaistītos uzlabojumos:

• mod_ssl un utilitāte ab ir ieviesta atbalsta OpenSSL 4.0.
• mod_ssl ir pievienota atbalsta atpazīšana atribūta veida SerialNumber.
• ErrorLogFormat direktīvā ir pievienots atbalsts ieliktajam «%{m}t» laika norādei žurnālā ar milisekunžu precizitāti.
• mod_http2 modulis ir atjaunināts līdz versijai 2.0.42.

Avots: opennet.lv