Podatności Apache HTTP Server

Podatność w Apache HTTP Server powoduje wyciek bufora dla żądań z ciałem, gdy odczytanie ciała może zakończyć się odczytaniem 0 bajtów. Dotyczy to szczególnie żądań z nagłówkiem 100-Continue, ale także każdego żądania przy wolnym połączeniu sieciowym.

Poprawka dla CVE-2026-2443 została cofnięta przez późniejszy commit, który zastąpił konkretne kontrole przepełnienia ogólnym porównaniem ze znakiem. Gdy klient wysyła żądanie Range z długością sufiksu przekraczającą rozmiar treści, wynikowa ujemna wartość początkowa nie jest odpowiednio ograniczana, co prowadzi do nieprawidłowych odpowiedzi HTTP 206 i zalewania logów.

Podatność Use After Free w module mod_http2 Apache HTTP Server w wersjach 2.4.55-2.4.67. Występuje po wyczerpaniu deskryptorów plików.

Podatność nieskończonej pętli w module mod_proxy_ftp w Apache HTTP Server od wersji 2.4.0 do 2.4.67, gdy atakujący kontroluje zdalny serwer FTP. Użytkownicy powinni zaktualizować do wersji 2.4.68, która rozwiązuje problem.

Podatność Buffer Over-read w Apache HTTP Server występuje podczas wysyłania żądań OCSP do kontrolowanego przez atakującego serwera OCSP. Problem dotyczy wersji od 2.4.0 do 2.4.67.

Apache HTTP Server w wersji 2.4.67 i wcześniejszych ma podatność związaną z nieprawidłowym zarządzaniem uprawnieniami, która umożliwia lokalnym autorom plików .htaccess odczyt plików z uprawnieniami użytkownika httpd.

Apache HTTP Server w wersjach od 2.4.0 do 2.4.67 zawiera podatność na odczyt poza dozwolonym obszarem pamięci w modułach mod_headers i mod_mime przy obsłudze wielu języków odpowiedzi. Podatność może być wykorzystana zdalnie.

W serwerze Apache HTTP Server od wersji 2.4.0 do 2.4.67 stwierdzono podatność na przepełnienie bufora sterty w module mod_xml2enc, funkcji xml2StartParse oraz przy nieufnej treści. Problem został naprawiony w wersji 2.4.68.

Podatność przepełnienia bufora na stercie w Apache HTTP Server od wersji 2.4.0 do 2.4.67. Może być wykorzystana przez złośliwe serwery backendowe oraz dyrektywy ProxyPassReverseCookie*.

Przepełnienie bufora w module mod_proxy_html serwera Apache HTTP Server 2.4.67 i wcześniejszych. Atakujący może wykorzystać niezaufany backend do ataku.

W Apache HTTP Server 2.4.67 i wcześniejszych występuje podatność na cross-site scripting (XSS) w generowaniu list katalogów HTML przez mod_proxy_ftp podczas wyświetlania zawartości katalogów FTP w konfiguracji proxy forward lub reverse.

Apache HTTP Server 2.4.65 i wcześniejsze z włączonym Server Side Includes (SSI) oraz mod_cgid (ale nie mod_cgi) przekazuje zapytanie escapowane powłokowo do dyrektyw #exec cmd="...". Problem dotyczy wersji przed 2.4.66.

Podatność w Apache HTTP Server (wersje 2.4.0 do 2.4.65) dotyczy nieprawidłowej neutralizacji sekwencji sterujących w zmiennych środowiskowych ustawianych przez konfigurację Apache, które mogą nadpisywać zmienne obliczane przez serwer dla programów CGI.

Podatność typu Server-Side Request Forgery (SSRF) w Apache HTTP Server na systemie Windows, gdy włączone są opcje AllowEncodedSlashes On i MergeSlashes Off, umożliwia potencjalny wyciek hashów NTLM do złośliwego serwera poprzez SSRF i złośliwe żądania lub treści. Zalecane jest uaktualnienie do wersji 2.4.66.