2026-1812: Apache httpd: Mehrere Schwachstellen ermöglichen u. a. das Ausführen beliebigen Programmcodes

Historie:

Version 1 (2026-05-05 14:28)

Neues Advisory

Version 2 (2026-05-07 09:31)

Für Debian 12 Bookworm (oldstable) steht Version 2.4.67-1~deb12u2 und für Debian 13 Trixie (stable) steht Version 2.4.67-1~deb13u2 von 'apache2' bereit, um elf Schwachstellen zu beheben. Für Ubuntu 22.04 LTS, 24.04 LTS, 25.10 und 26.04 LTS stehen Sicherheitsupdates für 'apache2' bereit, um elf Schwachstellen zu beheben.

Version 3 (2026-05-08 14:10)

Für Debian 11 Bullseye (LTS) steht Version 2.4.67-1~deb11u1 von 'apache2' bereit, um acht der hier aufgeführten Schwachstellen zu beheben.

Version 4 (2026-05-11 10:59)

Für Fedora 43 und 44 steht das Paket 'httpd-2.4.67-1' im Status 'testing' bereit, um die Schwachstellen zu beheben.

Version 5 (2026-05-15 08:58)

Für Debian 11 Bullseye (LTS) steht Version 2.4.67-1~deb11u1 von 'apache2' bereit, um zehn Schwachstellen zu beheben; die Schwachstelle CVE-2026-23918 wird nicht referenziert.

Version 6 (2026-05-29 08:08)

Für Basesystem Module 15 SP7, openSUSE Leap 15.6 und Server Applications Module 15 SP7, für die SUSE Linux Enterprise Produkte Desktop 15 SP7, Real Time 15 SP7, Server 15 SP6, 15 SP6 LTSS und 15 SP7 und Server for SAP Applications 15 SP6 und 15 SP7 sowie für SUSE Package Hub 15 SP7 stehen Sicherheitsupdates für 'apache2' bereit, um die elf Schwachstellen zu beheben.

Version 7 (2026-06-24 08:13)

Für die SUSE Linux Enterprise Produkte Server 16.0 und Server for SAP applications 16.0 stehen Sicherheitsupdates für 'apache2' bereit, um elf Schwachstellen zu beheben.

Version 8 (2026-06-26 17:14)

Für die SUSE Linux Enterprise Produkte High Performance Computing 12 SP5, Server 12 SP5 und 12 SP5 LTSS / LTSS Extended Security und Server for SAP Applications 12 SP5 stehen Sicherheitsupdates für 'apache2' bereit, um die elf Schwachstellen zu beheben.

Version 9 (2026-06-30 16:22)

Für openSUSE Leap 16.0 steht ein Sicherheitsupdate für 'apache2' bereit, um elf Schwachstellen zu beheben.

Betroffene Software

Server

Betroffene Plattformen

HP
Apple
Linux
Microsoft
Oracle
UNIX

Beschreibung:

Ein Angreifer kann mehrere Schwachstellen aus der Ferne ausnutzen, um Informationen auszuspähen, Privilegien zu eskalieren, Sicherheitsvorkehrungen zu umgehen, beliebigen Programmcode auszuführen, einen HTTP-Response-Splitting-Angriff und einen Denial-of-Service (DoS)-Angriff durchzuführen.

Für die Ausnutzung der Schwachstellen sind unterschiedliche Privilegien erforderlich.

Das Apache HTTP Server Project hat ein Sicherheitsupdate in Version 2.4.67 veröffentlicht, welches die Schwachstellen adressiert.

Schwachstellen:

CVE-2026-23918

Schwachstelle in Apache httpd ermöglicht Ausführen beliebigen Programmcodes

CVE-2026-24072

Schwachstelle in Apache httpd ermöglicht Privilegieneskalation

CVE-2026-28780

Schwachstelle in Apache httpd ermöglicht u. a. Denial-of-Service-Angriff

CVE-2026-29168

Schwachstelle in Apache httpd ermöglicht Denial-of-Service-Angriff

CVE-2026-29169

Schwachstelle in Apache httpd ermöglicht Denial-of-Service-Angriff

CVE-2026-33006

Schwachstelle in Apache httpd ermöglicht Umgehen von Sicherheitsvorkehrungen

CVE-2026-33007

Schwachstelle in Apache httpd ermöglicht Denial-of-Service-Angriff

CVE-2026-33523

Schwachstelle in Apache httpd ermöglicht HTTP-Response-Splitting-Angriff

CVE-2026-33857

Schwachstelle in Apache httpd ermöglicht Ausspähen von Informationen

CVE-2026-34032

Schwachstelle in Apache httpd ermöglicht Ausspähen von Informationen

CVE-2026-34059

Schwachstelle in Apache httpd ermöglicht Ausspähen von Informationen

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.