Utgivelsen av http-serveren Apache 2.4.68 med fjerning av 13 sårbarheter

Utgivelsen av HTTP-serveren Apache 2.4.68 er lansert, hvor 13 sårbarheter er fjernet og flere endringer er gjort.

Fjernede sårbarheter (de første 6 har middels alvorlighetsgrad, mens de andre er lave):

• CVE-2026-34355 — buffer overflow i mod_proxy_html, som oppstår ved at man henvender seg til en backend kontrollert av en angriper.
• CVE-2026-49975 — tjenestenekt ved å bruke opp all tilgjengelig minne for prosessen.
• CVE-2026-44186 — uendelig sløyfing i modulen mod_proxy_ftp, utnyttet ved å henvende seg til en FTP-server kontrollert av angriperen.
• CVE-2026-44119 — lokale brukere med rettighet til å opprette .htaccess-filer kan lese innholdet av filer med httpd-brukerens privilegier.
• CVE-2026-43951 — prosessen krasjer på grunn av forsøk på å lese utenfor den tildelte bufferens minne i mod_headers og mod_mime.
• CVE-2026-42535 — sårbarhet i mod_dav_fs, som gir WebDAV-innholdsskapere tilgang til kataloger som krever utvidede privilegier.
• CVE-2026-29167 — tilgang til minne etter det er frigitt i mod_ldap.
• CVE-2026-29170 — Cross-site scripting i mod_proxy_ftp.
• CVE-2026-34356 — buffer overflow i implementeringen av ProxyPassReverseCookieMap.
• CVE-2026-42536 — buffer overflow i mod_xml2enc.
• CVE-2026-44185 — lesing fra minne utenfor bufferen i mod_ssl ved forespørsel til en angripers OCSP-server.
• CVE-2026-44631 — buffer overflow ved håndtering av regulære uttrykk i konfigurasjonen.
• CVE-2026-48913 — tilgang til minne etter det er frigitt i mod_http2, som oppstår ved å bruke opp tilgjengelige filbeskrivelser.

Blant ikke-sikkerhetsrelaterte forbedringer:

• Det er lagt til støtte for OpenSSL 4.0 i mod_ssl og verktøyet ab.
• I mod_ssl er det lagt til gjenkjenning av typen SerialNumber-attributter.
• I direktivet ErrorLogFormat er det lagt til støtte for substitusjonen "%{m}t" for å registrere tiden i loggen med millisekunders presisjon.
• Modulen mod_http2 er oppdatert til versjon 2.0.42.

Kilde: opennet.ru