Izkazujemo izdajo HTTP strežnika Apache 2.4.67, v kateri je odpravljeno 11 ranljivosti in uvedenih več popravkov. Najbolj nevarna ranljivost (CVE-2026-23918) je povzročena z dvojno osvoboditvijo pomnilnika v modulu mod_http2 in lahko potencialno privede do oddaljenega izvajanja kode na strežniku preko manipulacije s protokolom HTTP/2. Ranljivost se kaže le v izdaji 2.4.66. Problem je prejel raven nevarnosti 8.8 od 10.
Še ena ranljivost (CVE-2026-24072) z raven nevarnosti 8.8 je prisotna v modulu mod_rewrite in lokalnim uporabnikom omogoča gostovanja, ki imajo pravico ustvarjati datoteke „.htaccess“, da preberejo vsebino katerekoli datoteke v sistemu s privilegiji uporabnika, pod katerim se izvaja proces httpd.
Manj nevarne ranljivosti:
- CVE-2026-28780 — prelivanje pomnilnika v mod_proxy_ajp, ki se lahko izkorišča pri povezovanju proksija z zlonamernim AJP strežnikom. S posredovanjem posebej oblikovanih AJP sporočil (Apache JServ Protocol) je mogoče doseči zapis 4 bajtov čez meje dodeljenega pomnilnika.
- CVE-2026-33523 — možnost napada razdelitve HTTP odgovorov na sistemih front-end-backend (HTTP response splitting), ki omogoča vstavljanje dodatnih odzivnih glav ali delitev odzivov, da se vklopi v vsebino odgovorov drugih uporabnikov, ki se obdelujejo v isti nit med front-endom in backendom.
- CVE-2026-33006 — napad preko stranskih kanalov (analiza zamud) na mod_auth_digest, ki omogoča obhod Digest avtorizacije.
- CVE-2026-29168 — pomanjkanje ustrezne omejitve dodeljenih virov pri obdelavi posebej oblikovanega odgovora OCSP v mod_md.
- CVE-2026-29169 — dereferencing ničelnega kazalca v modulu mod_dav_lock, ki se lahko uporabi za povzročitev izrednega konca delovanja strežniškega procesa.
- CVE-2026-33007 — dereferencing ničelnega kazalca v modulu mod_authn_socache, ki se lahko uporabi za povzročitev izrednega konca delovanja podprocesa v konfiguracijah z začasnim proksijem.
- CVE-2026-33857 — branje enega bajta iz pomnilnika zunaj dodeljenega pomnilnika v modulu mod_proxy_ajp.
- CVE-2026-34032 — branje podatkov iz pomnilnika zunaj dodeljenega pomnilnika zaradi pomanjkanja preverjanja zaključnega niza ničelnega znaka v mod_proxy_ajp.
- CVE-2026-34059 — uhajanje vsebine pomnilnika v mod_proxy_ajp.
Poleg tega so v novi izdaji odpravljene napake, ki niso povezane z varnostjo, v mod_http2 in mod_md, dodane pa so tudi nove MIME-tipe v datoteko conf/mime.types: vnd.sqlite3, HEIC, HEIF.
Izvor: opennet.ru
