Foi lançado o Apache HTTP Server 2.4.68, corrigindo 13 vulnerabilidades e implementando várias mudanças.
Vulnerabilidades corrigidas (as primeiras 6 têm nível de severidade moderado, as restantes são baixas):
- CVE-2026-34355 - estouro de buffer em mod_proxy_html, que se manifesta ao acessar um backend controlado pelo atacante.
- CVE-2026-49975 - negação de serviço devido ao esgotamento de toda a memória disponível para o processo.
- CVE-2026-44186 - loop infinito no módulo mod_proxy_ftp, explorado ao acessar um servidor FTP controlado por um atacante.
- CVE-2026-44119 - usuários locais com permissão para criar arquivos .htaccess podem ler o conteúdo de arquivos com privilégios do usuário httpd.
- CVE-2026-43951 - término inesperado do processo devido à leitura de fora da área de memória alocada em mod_headers e mod_mime.
- CVE-2026-42535 - vulnerabilidade em mod_dav_fs que permite a autores de conteúdo WebDAV acessar diretórios que requerem privilégios elevados.
- CVE-2026-29167 - acesso à memória após liberação em mod_ldap.
- CVE-2026-29170 - script cross-site em mod_proxy_ftp.
- CVE-2026-34356 - estouro de buffer na implementação do ProxyPassReverseCookieMap.
- CVE-2026-42536 - estouro de buffer em mod_xml2enc.
- CVE-2026-44185 - leitura fora da área do buffer em mod_ssl ao fazer solicitações para o servidor OCSP do atacante.
- CVE-2026-44631 - estouro de buffer ao processar expressões regulares na configuração.
- CVE-2026-48913 - acesso à memória após liberação em mod_http2, ocorrendo quando os descritores de arquivo disponíveis se esgotam.
Entre as melhorias não relacionadas à segurança:
- O mod_ssl e a ferramenta ab agora suportam OpenSSL 4.0.
- O mod_ssl adicionou reconhecimento do tipo de atributo SerialNumber.
- A diretiva ErrorLogFormat agora suporta a substituição «%{m}t» para registrar o tempo com precisão em milissegundos.
- O módulo mod_http2 foi atualizado para a versão 2.0.42.
Fonte: opennet.ru
