Izdan je Apache HTTP server 2.4.68 koji rešava 13 ranjivosti i uključuje neka poboljšanja.
Rešene ranjivosti (prvih 6 imaju umereni nivo opasnosti, dok su ostale niskog nivoa):
- CVE-2026-34355 — prelivanje bafera u mod_proxy_html, koje se manifestuje prilikom pristupa backendu pod kontrolom napadača.
- CVE-2026-49975 — usluga prestaje da radi zbog iscrpljivanja svake dostupne memorije procesa.
- CVE-2026-44186 — beskonačno cikliranje u modulu mod_proxy_ftp, koje se eksploatiše prilikom pristupa FTP serveru pod kontrolom napadača.
- CVE-2026-44119 — lokalni korisnici sa pravima za kreiranje .htaccess fajlova mogu pročitati sadržaj fajlova sa privilegijama korisnika httpd.
- CVE-2026-43951 — rušenje procesa zbog čitanja iz oblasti memorije izvan dodeljenog bafera u mod_headers i mod_mime.
- CVE-2026-42535 — ranjivost u mod_dav_fs koja omogućava autorima WebDAV sadržaja pristup katalogu koji zahteva proširene privilegije.
- CVE-2026-29167 — pristup memoriji nakon što je oslobođena u mod_ldap.
- CVE-2026-29170 — međusajtno skriptovanje u mod_proxy_ftp.
- CVE-2026-34356 — prelivanje bafera u implementaciji ProxyPassReverseCookieMap.
- CVE-2026-42536 — prelivanje bafera u mod_xml2enc.
- CVE-2026-44185 — čitanje iz oblasti van bafera u mod_ssl prilikom obrade zahteva ka OCSP serveru napadača.
- CVE-2026-44631 — prelivanje bafera prilikom obrade regularnih izraza u konfiguraciji.
- CVE-2026-48913 — pristup memoriji nakon što je oslobođena u mod_http2, koja se javlja kada se iscrpe dostupni file deskriptori.
Među poboljšanjima koja nisu povezana sa bezbednošću:
- U mod_ssl i alatu ab implementirana je podrška za OpenSSL 4.0.
- U mod_ssl dodato je prepoznavanje tipa atributa SerialNumber.
- U direktivu ErrorLogFormat dodata je podrška za zamenu „%{m}t” za navođenje vremena u logu sa preciznošću do milisekundi.
- Modul mod_http2 ažuriran je na verziju 2.0.42.
Izvor: opennet.ru
