Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.
[TLP:CLEAR] Apache HTTP Server opravuje 11 zranitelností
Apache verzí 2.4.67 opravuje 11 zranitelností v produktu Apache HTTP Server [1]. Vydání Debianu opravující zranitelnost CVE-2026-23918 [2]: bullseye - 2.4.62-1~deb11u1 bullseye (security) - 2.4.66-1~deb11u1 bookworm (security) - 2.4.67-1~deb12u2 trixie - 2.4.66-1~deb13u2 trixie (security) - 2.4.67-1~deb13u2 forky - 2.4.66-8 sid - 2.4.67-1 Vydání Debianu opravující ostatní zranitelnosti [3]: bookworm (security) - 2.4.67-1~deb12u2 trixie (security) - 2.4.67-1~deb13u2 Vydání Ubuntu a jejich opravená vydání [4][5]: resolute - 2.4.66-2ubuntu2.1 questing - 2.4.64-1ubuntu3.4 noble - 2.4.58-1ubuntu8.12 jammy - 2.4.52-1ubuntu4.20
Neautentizovanému vzdálenému útočníkovi je kvůli chybě opakovaného uvolňování téže části paměti potenciálně umožněno na zranitelném stroji spouštět kód [6].
Zranitelnost se nachází v produktu:
- Apache HTTP; >=2.4.66, <2.4.67;
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Více informací:
- CVE-2026-23918 na cve.org, NVD
- CWE-415: Double Free na cwe.mitre.org
Zranitelnost byla veřejně oznámena 4. 5. 2026.
Neautentizovanému vzdálenému útočníkovi je na instanci s povolenou forward proxy s cache umožněno provést DoS útok [7].
Zranitelnost se nachází v produktu:
- Apache HTTP; >=2.4.0, <2.4.67;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
Více informací:
- CVE-2026-33007 na cve.org, NVD
- CWE-476: NULL Pointer Dereference na cwe.mitre.org
Zranitelnost byla veřejně oznámena 4. 5. 2026.
Neautentizovanému vzdálenému útočníkovi je pomocí časového útoku umožněno postupně odhadnout správnou digest hodnotu a následně se pomocí ní autentizovat [7].
Zranitelnost se nachází v produktu:
- Apache HTTP; >=2.4.66, <2.4.67;
CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N
Více informací:
- CVE-2026-33006 na cve.org, NVD
- CWE-208: Observable Timing Discrepancy na cwe.mitre.org
Zranitelnost byla veřejně oznámena 4. 5. 2026.
Odkazy
- [1] https://httpd.apache.org/security/vulnerabilities_24.html#CVE-2026-23918
- [2] https://security-tracker.debian.org/tracker/CVE-2026-23918
- [3] https://security-tracker.debian.org/tracker/DSA-6248-1
- [4] https://ubuntu.com/security/CVE-2026-23918
- [5] https://ubuntu.com/security/notices/USN-8239-1
- [6] https://www.cve.org/CVERecord?id=CVE-2026-23918
- [7] https://httpd.apache.org/security/vulnerabilities_24.html
Za CESNET, z.s.p.o. Martin Krajči dne 7. 5. 2026.