Ошибки в Apache HTTP Server затрагивают модули, которые администраторы включают осознанно: блокировки WebDAV, подстановку текста в ответы, кэш. За частью стоят ошибки работы с памятью, и они приводят к сбою рабочего процесса. Условия срабатывания издатель не раскрывает, уровень опасности не называет. Оценивать риск приходится по назначению самих модулей.
Что изменилось в 2.4.70
Исправление вышло в версии 2.4.70. В перечне изменений CHANGES_2.4.70, датированном 6 ноября 2026 года, нет ни оценок CVSS, ни идентификаторов CVE. Сведений об эксплуатации в реальных атаках тоже нет. До установки стоит проверить, какие из перечисленных модулей включены на сервере.
Проверка занимает немного времени. В большинстве сборок модули подключают списком в конфигурации, поэтому выключенный модуль просто не участвует в обработке запросов. Если mod_dav_lock и mod_substitute не включены, часть риска снимается и без обновления. Зато mod_cache и mod_cgid встречаются почти на каждом узле.
Переполнение буфера в mod_dav_lock
mod_dav_lock хранит блокировки файлов при работе по WebDAV. При расчёте места под поле длины ключа модуль резервировал меньше памяти, чем записывал. Размер поля задавался одним типом, а значение писалось другим, более широким. В итоге запись выходит за границы буфера в куче.
Срабатывает это при включённом mod_dav_lock и операции, в которой сервер сохраняет ключ блокировки. Речь о сценарии записи, а не об обычной отдаче файлов на чтение. Переполнение в куче означает повреждение памяти. Сервер может упасть, а может продолжить работу с искажёнными данными. О выполнении произвольного кода издатель не сообщает, подтверждённых атак тоже нет. Обновление убирает саму арифметику с неверной разрядностью.
Целочисленное переполнение в mod_substitute
mod_substitute переписывает содержимое ответа по правилам из конфигурации. При подсчёте размеров во время такой подстановки возникает целочисленное переполнение. Разработчики описывают условие как очень специфичную конфигурацию и не уточняют, какая настройка приводит к ошибке. В 2.4.70 переполнение устранили.
На практике это значит, что предсказать срабатывание по внешним признакам трудно. Администратору остаётся полагаться на сам факт исправления. Если модуль включён и правила подстановки сложные, обновление стоит поставить в ближайшее окно.
Правки, которые не описывают как уязвимости
mod_authnz_ldap в выпуске 2.4.69 падал на Windows. В 2.4.70 сбои устранили. Это важно для тех, кто уже поставил 2.4.69 и использует LDAP-аутентификацию на Windows: обновление возвращает модулю работоспособность. Речь о сбоях, о которых сообщили после выхода предыдущей версии, а не о новой атаке.
В mod_cgid подняли пределы для числа и длины переменных окружения, URI и аргументов. Скриптам и CGI-приложениям с длинными параметрами это возвращает работоспособность. Конкретные новые значения перечень не приводит. Тем, кто упирался в старые ограничения, стоит свериться с документацией и убрать обходные решения.
mod_cache перестал сохранять ответ с заголовком Vary: *, если его выставили через Header always. По смыслу заголовка такой ответ кэшировать нельзя, и раньше он всё равно попадал в кэш. После обновления каждый запрос уходит на бэкенд, поэтому нагрузка на него может вырасти. Конфигурации, где Vary: * ставят через Header always, стоит пересмотреть.
Правки собраны в одном выпуске. Отдельных патчей для модулей перечень не упоминает, поэтому сервер обновляют целиком. Первыми стоит обновить узлы с включёнными WebDAV и подстановкой ответов.
Ссылки
