Podatności Apache HTTP Server

Dystrybucja Apache Lounge dla systemu Windows Apache HTTP Server zawiera podatność związaną z zakodowaną na stałe ścieżką konfiguracyjną w pliku openssl.cnf, co może umożliwić lokalne wykonanie kodu.

Podatność w Apache HTTP Server powoduje wyciek bufora dla żądań z ciałem, gdy odczytanie ciała może zakończyć się odczytaniem 0 bajtów. Dotyczy to szczególnie żądań z nagłówkiem 100-Continue, ale także każdego żądania przy wolnym połączeniu sieciowym.

Poprawka dla CVE-2026-2443 została cofnięta przez późniejszy commit, który zastąpił konkretne kontrole przepełnienia ogólnym porównaniem ze znakiem. Gdy klient wysyła żądanie Range z długością sufiksu przekraczającą rozmiar treści, wynikowa ujemna wartość początkowa nie jest odpowiednio ograniczana, co prowadzi do nieprawidłowych odpowiedzi HTTP 206 i zalewania logów.

Podatność Use After Free w module mod_http2 Apache HTTP Server w wersjach 2.4.55-2.4.67. Występuje po wyczerpaniu deskryptorów plików.

Podatność nieskończonej pętli w module mod_proxy_ftp w Apache HTTP Server od wersji 2.4.0 do 2.4.67, gdy atakujący kontroluje zdalny serwer FTP. Użytkownicy powinni zaktualizować do wersji 2.4.68, która rozwiązuje problem.

Podatność Buffer Over-read w Apache HTTP Server występuje podczas wysyłania żądań OCSP do kontrolowanego przez atakującego serwera OCSP. Problem dotyczy wersji od 2.4.0 do 2.4.67.

Apache HTTP Server w wersji 2.4.67 i wcześniejszych ma podatność związaną z nieprawidłowym zarządzaniem uprawnieniami, która umożliwia lokalnym autorom plików .htaccess odczyt plików z uprawnieniami użytkownika httpd.

Apache HTTP Server w wersjach od 2.4.0 do 2.4.67 zawiera podatność na odczyt poza dozwolonym obszarem pamięci w modułach mod_headers i mod_mime przy obsłudze wielu języków odpowiedzi. Podatność może być wykorzystana zdalnie.

W serwerze Apache HTTP Server od wersji 2.4.0 do 2.4.67 stwierdzono podatność na przepełnienie bufora sterty w module mod_xml2enc, funkcji xml2StartParse oraz przy nieufnej treści. Problem został naprawiony w wersji 2.4.68.

Podatność przepełnienia bufora na stercie w Apache HTTP Server od wersji 2.4.0 do 2.4.67. Może być wykorzystana przez złośliwe serwery backendowe oraz dyrektywy ProxyPassReverseCookie*.

Przepełnienie bufora w module mod_proxy_html serwera Apache HTTP Server 2.4.67 i wcześniejszych. Atakujący może wykorzystać niezaufany backend do ataku.

W Apache HTTP Server 2.4.67 i wcześniejszych występuje podatność na cross-site scripting (XSS) w generowaniu list katalogów HTML przez mod_proxy_ftp podczas wyświetlania zawartości katalogów FTP w konfiguracji proxy forward lub reverse.

W mod_dav_lock w Apache HTTP Server 2.4.66 i wcześniejszych występuje dereferencja wskaźnika NULL, która może pozwolić atakującemu na zawieszenie serwera złośliwym żądaniem. Moduł mod_dav_lock nie jest używany wewnętrznie przez mod_dav ani mod_dav_fs, a jego jedynym znanym zastosowaniem był mod_dav_svn z Apache Subversion w wersji wcześniejszej niż 1.2.0.

Apache HTTP Server 2.4.65 i wcześniejsze z włączonym Server Side Includes (SSI) oraz mod_cgid (ale nie mod_cgi) przekazuje zapytanie escapowane powłokowo do dyrektyw #exec cmd="...". Problem dotyczy wersji przed 2.4.66.

W Apache HTTP Server występuje podatność obejścia mod_userdir+suexec poprzez AllowOverride FileInfo. Użytkownicy z dostępem do dyrektywy RequestHeader w htaccess mogą spowodować uruchomienie niektórych skryptów CGI pod nieoczekiwanym identyfikatorem użytkownika. Problem dotyczy wersji od 2.4.7 do 2.4.65.

Podatność w Apache HTTP Server (wersje 2.4.0 do 2.4.65) dotyczy nieprawidłowej neutralizacji sekwencji sterujących w zmiennych środowiskowych ustawianych przez konfigurację Apache, które mogą nadpisywać zmienne obliczane przez serwer dla programów CGI.

Podatność typu Server-Side Request Forgery (SSRF) w Apache HTTP Server na systemie Windows, gdy włączone są opcje AllowEncodedSlashes On i MergeSlashes Off, umożliwia potencjalny wyciek hashów NTLM do złośliwego serwera poprzez SSRF i złośliwe żądania lub treści. Zalecane jest uaktualnienie do wersji 2.4.66.

Przepełnienie liczby całkowitej w przypadku nieudanego odnowienia certyfikatu ACME powoduje, że po wielu niepowodzeniach (około 30 dni w domyślnej konfiguracji) licznik opóźnienia (backoff) osiąga wartość 0. Próby odnowienia certyfikatu są wtedy powtarzane bez opóźnień, aż do sukcesu. Problem dotyczy Apache HTTP Server od wersji 2.4.30 do 2.4.66.