Bol spustený nový release HTTP servera Apache 2.4.68, ktorý opravuje 13 zraniteľností a obsahuje niekoľko zmien.
Opravené zraniteľnosti (prvých 6 má strednú úroveň nebezpečenstva, ostatné sú nízke):
- CVE-2026-34355 — pretečenie bufferu v mod_proxy_html, ktoré sa prejavuje pri prístupe k backendu ovládanému útočníkom.
- CVE-2026-49975 — odmietnutie služby spôsobené vyčerpaním celej dostupnej pamäte procesu.
- CVE-2026-44186 — nekonečné cyklenie v module mod_proxy_ftp, ktoré je možné zneužiť pri prístupe k FTP serveru ovládanému útočníkom.
- CVE-2026-44119 — lokálni používatelia s právami na vytváranie súborov .htaccess môžu prečítať obsah súborov s privilégiami používateľa httpd.
- CVE-2026-43951 — havarijné ukončenie procesu z dôvodu čítania z oblasti pamäte mimo prideleného bufferu v mod_headers a mod_mime.
- CVE-2026-42535 — zraniteľnosť v mod_dav_fs, ktorá umožňuje autorom obsahu WebDAV prístup do adresára, ktorý vyžaduje rozšírené privilégiá.
- CVE-2026-29167 — prístup do pamäte po jej uvoľnení v mod_ldap.
- CVE-2026-29170 — medziwebové skriptovanie v mod_proxy_ftp.
- CVE-2026-34356 — pretečenie bufferu v implementácii ProxyPassReverseCookieMap.
- CVE-2026-42536 — pretečenie bufferu v mod_xml2enc.
- CVE-2026-44185 — čítanie z oblasti mimo bufferu v mod_ssl pri vykonávaní požiadaviek na OCSP server útočníka.
- CVE-2026-44631 — pretečenie bufferu pri spracovaní regulárnych výrazov v konfigurácii.
- CVE-2026-48913 — prístup do pamäte po jej uvoľnení v mod_http2, ktoré nastáva pri vyčerpaní dostupných deskriptorov súborov.
Medzi nezabezpečovacími vylepšeniami:
- V mod_ssl a utilite ab bola implementovaná podpora OpenSSL 4.0.
- V mod_ssl bolo pridané rozpoznanie typu atribútov SerialNumber.
- Do direktívy ErrorLogFormat bola pridaná podpora substitúcie „%{m}t“ na zobrazenie času v logu s milisekundovou presnosťou.
- Modul mod_http2 bol aktualizovaný na verziu 2.0.42.
Zdroj: opennet.ru
