Utgivning av http-servern Apache 2.4.68 med åtgärd av 13 sårbarheter

HTTP-server Apache 2.4.68 har släppts, där 13 sårbarheter har åtgärdats och flera ändringar har gjorts.

Åtgärdade sårbarheter (de första 6 har en måttlig risknivå, och de resterande har låg):

• CVE-2026-34355 — buffertöverskridning i mod_proxy_html, som uppstår vid anrop till en backend kontrollerad av en angripare.
• CVE-2026-49975 — överbelastning genom att uttömma all tillgänglig minne för processen.
• CVE-2026-44186 — oändlig slinga i mod_proxy_ftp, som utnyttjas vid anrop till en FTP-server kontrollerad av angriparen.
• CVE-2026-44119 — lokala användare med rättigheter att skapa .htaccess-filer kan läsa innehållet i filer med httpd-användarprivilegier.
• CVE-2026-43951 — krasch av processen på grund av läsning från minnesområdet utanför den tilldelade bufferten i mod_headers och mod_mime.
• CVE-2026-42535 — sårbarhet i mod_dav_fs som tillåter WebDAV-innehållsförfattare att få åtkomst till katalogen som kräver utökade privilegier.
• CVE-2026-29167 — minnesåtkomst efter att det har frigjorts i mod_ldap.
• CVE-2026-29170 — cross-site scripting i mod_proxy_ftp.
• CVE-2026-34356 — buffertöverskridning i implementationen av ProxyPassReverseCookieMap.
• CVE-2026-42536 — buffertöverskridning i mod_xml2enc.
• CVE-2026-44185 — läsning från området utanför bufferten i mod_ssl vid utförande av förfrågningar till angriparens OCSP-server.
• CVE-2026-44631 — buffertöverskridning vid bearbetning av reguljära uttryck i konfigurationen.
• CVE-2026-48913 — minnesåtkomst efter att det har frigjorts i mod_http2, som uppstår vid uttömning av tillgängliga filbeskrivare.

Bland de icke-säkerhetsrelaterade förbättringarna:

• Stödet för OpenSSL 4.0 har implementerats i mod_ssl och verktyget ab.
• Typen av attributet SerialNumber har lagts till i mod_ssl.
• Direktivet ErrorLogFormat har lagt till stöd för substitut "%{m}t" för att ange tiden i loggen med millisekunders noggrannhet.
• Modulen mod_http2 har uppdaterats till version 2.0.42.

Källa: opennet.ru