Bol uvoľnený HTTP server Apache 2.4.67, ktorý opravuje 11 zraniteľností a prináša niekoľko opráv. Najnebezpečnejšia zraniteľnosť (CVE-2026-23918) je spôsobená dvojitým uvoľnením pamäte v module mod_http2 a môže potenciálne viesť k vzdialenému vykonaniu kódu na serveri prostredníctvom manipulácií s protokolom HTTP/2. Zraniteľnosť sa prejavuje iba vo vydaní 2.4.66. Probléme bol priradený stupeň nebezpečenstva 8.8 z 10.
Ďalšia zraniteľnosť (CVE-2026-24072) so stupňom nebezpečenstva 8.8 sa nachádza v module mod_rewrite a umožňuje lokálnym používateľom hostingu, ktorí majú právo vytvárať súbory „.htaccess“, prečítať obsah akýchkoľvek súborov v systéme s oprávneniami používateľa, pod ktorým beží proces httpd.
Menej nebezpečné zraniteľnosti:
- CVE-2026-28780 — pretečenie zásobníka v mod_proxy_ajp, ktoré môže byť zneužité pri pripojení proxy k škodlivému AJP serveru. Prostredníctvom zasielania špeciálne formátovaných AJP správ (Apache JServ Protocol) je možné dosiahnuť zápis 4 bajtov za hranicu vyhradeného zásobníka.
- CVE-2026-33523 — možnosť vykonania útoku na delenie odpovedí HTTP na systémoch front-end-backend (HTTP response splitting), ktorá umožňuje vloženie dodatočných hlavičiek odpovede alebo rozdelenie odpovedí, aby sa vklínili do obsahu odpovedí iným používateľom spracovávaným v tom istom prúde medzi front-endom a backendom.
- CVE-2026-33006 — útok prostredníctvom vedľajších kanálov (analýza oneskorení) na mod_auth_digest, ktorý umožňuje obísť Digest autentifikáciu.
- CVE-2026-29168 — nedostatočné obmedzenie prideľovaných zdrojov pri spracovaní špeciálne formátovanej odpovede OCSP v mod_md.
- CVE-2026-29169 — dereferencovanie nulového ukazovateľa v module mod_dav_lock, ktoré môže byť použité na núdzové ukončenie serverového procesu.
- CVE-2026-33007 — dereferencovanie nulového ukazovateľa v module mod_authn_socache, ktoré môže byť použité na núdzové ukončenie podprocesu v konfiguráciách s cache proxy.
- CVE-2026-33857 — čítanie jedného bajtu z pamäti mimo vyhradeného zásobníka v module mod_proxy_ajp.
- CVE-2026-34032 — čítanie dát z pamäti mimo vyhradeného zásobníka z dôvodu absencie kontroly na koncový znak nulového symbolu v mod_proxy_ajp.
- CVE-2026-34059 — únik obsahu pamäte v mod_proxy_ajp.
Okrem toho boli vo vydaní opravené chyby, ktoré nie sú spojené so zabezpečením, v mod_http2 a mod_md, a do súboru conf/mime.types boli pridané nové MIME typy: vnd.sqlite3, HEIC, HEIF.
Zdroj: opennet.ru
