Bola vydaná verzia Apache HTTP Server 2.4.67, ktorá opravuje 11 zraniteľností a prináša niekoľko ďalších opráv. Najzávažnejšia zraniteľnosť (CVE-2026-23918) je spôsobená chybou double-free v module mod_http2 a mohla by potenciálne viesť k vzdialenému spusteniu kódu na serveri manipuláciou s protokolom HTTP/2. Táto zraniteľnosť je prítomná iba vo verzii 2.4.66. Problém má hodnotenie závažnosti 8.8 z 10.
Ďalšia zraniteľnosť (CVE-2026-24072) s úrovňou závažnosti 8.8 sa nachádza v module mod_rewrite a umožňuje lokálnym používateľom hosting, ktorý má právo vytvárať súbory „.htaccess“, číta obsah ľubovoľných súborov v systéme s oprávneniami používateľa, pod ktorým beží proces httpd.
Menej nebezpečné zraniteľnosti:
- CVE-2026-28780 – pretečenie vyrovnávacej pamäte v mod_proxy_ajp, ktoré je možné zneužiť pri pripájaní proxy k škodlivému AJP serveru. Odoslaním špeciálne vytvorených AJP (Apache JServ Protocol) správ je možné zapísať 4 bajty za koniec alokovanej vyrovnávacej pamäte.
- CVE-2026-33523 – Na systémoch frontend-backend je možný útok s rozdelením odpovedí HTTP, ktorý umožňuje vkladanie ďalších hlavičiek odpovedí alebo rozdelenie odpovedí s cieľom vložiť obsah do odpovedí iným používateľom spracovaných v rovnakom vlákne medzi frontendom a backendom.
- CVE-2026-33006 – Útok cez bočný kanál (analýza latencie) na mod_auth_digest umožňuje obísť overovanie Digest.
- CVE-2026-29168 – Chýba správne obmedzenie alokácie zdrojov pri spracovaní špeciálne vytvorenej odpovede OCSP v mod_md.
- CVE-2026-29169 – Dereferencia ukazovateľa NULL v module mod_dav_lock môže byť zneužitá na spôsobenie zlyhania serverového procesu.
- CVE-2026-33007 – Dereferencia ukazovateľa NULL v module mod_authn_socache môže spôsobiť zlyhanie podradeného procesu pri konfiguráciách proxy servera do vyrovnávacej pamäte.
- CVE-2026-33857 - Čítanie jedného bajtu mimo hraníc v mod_proxy_ajp.
- CVE-2026-34032 - Čítanie mimo hraníc z dôvodu chýbajúcej kontroly ukončujúceho znaku NULL v mod_proxy_ajp.
- CVE-2026-34059 – Únik pamäte v module mod_proxy_ajp.
Okrem toho nová verzia opravuje chyby nesúvisiace s bezpečnosťou v moduloch mod_http2 a mod_md a pridáva nové typy MIME do súboru conf/mime.types: vnd.sqlite3, HEIC, HEIF.
Zdroj: opennet.ru
