[TLP:CLEAR] Apache HTTP Server opravuje 11 zraniteľností

Apache verziou 2.4.67 opravuje 11 zraniteľností v produkte Apache HTTP Server [1]. Debian vydania opravujúce zraniteľnosť CVE-2026-23918 [2]: bullseye - 2.4.62-1~deb11u1 bullseye (security) - 2.4.66-1~deb11u1 bookworm (security) - 2.4.67-1~deb12u2 trixie - 2.4.66-1~deb13u2 trixie (security) - 2.4.67-1~deb13u2 forky - 2.4.66-8 sid - 2.4.67-1 Debian vydania opravujúce ostatné zraniteľnosti [3]: bookworm (security) - 2.4.67-1~deb12u2 trixie (security) - 2.4.67-1~deb13u2 Vydania Ubuntu a ich opravené vydania [4][5]: resolute - 2.4.66-2ubuntu2.1 questing - 2.4.64-1ubuntu3.4 noble - 2.4.58-1ubuntu8.12 jammy - 2.4.52-1ubuntu4.20

Apache HTTP - heap buffer over-read (CVE-2026-23918)
CVSS 8.8 (High)

Neautentizovanému vzdialenému útočníkovi je kvôli chybe opakovaného uvoľnovania tej istej časti pamäte potenciálne umožnené na zraniteľnom stroji spúšťať kód [6].

Zraniteľnosť sa nachádza v produkte:

  • Apache HTTP; >=2.4.66, <2.4.67;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 4. 5. 2026.

Apache HTTP - DoS (CVE-2026-33007)
CVSS 5.3 (Medium)

Neautentizovanému vzdialenému útočníkovi je na inštanciu s povolenou forward proxy s cache umožnené vykonať DoS útok [7].

Zraniteľnosť sa nachádza v produkte:

  • Apache HTTP; >=2.4.0, <2.4.67;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L

Viac informácií:

Zraniteľnosť bola verejne oznámená 4. 5. 2026.

Apache HTTP - timing discrepancy attack (CVE-2026-33006)
CVSS 4.8 (Medium)

Neautentizovanému vzdialenému útočníkovi je pomocou časového útoku umožnené postupne odhadnúť správnu digest hodnotu a následne sa pomocou nej autentifikovať [7].

Zraniteľnosť sa nachádza v produkte:

  • Apache HTTP; >=2.4.66, <2.4.67;

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 4. 5. 2026.

Za CESNET, z.s.p.o. Martin Krajči dňa 7. 5. 2026.

CESNET, z.s.p.o. Logo