SchwachstellenHackerangriffeCloud-Sicherheit

Apache behebt kritische Schwachstellen in HTTP Server und MINA – RCE-Risiko gebannt

Von CyberDeutsch Redaktion
Apache behebt kritische Schwachstellen in HTTP Server und MINA – RCE-Risiko gebannt
Zusammenfassung

Das Apache-Projekt hat kritische Sicherheitslücken in seinen weit verbreiteten Softwareprodukten HTTP Server und MINA geschlossen. Insbesondere die neuen Versionen Apache HTTP Server 2.4.67 sowie MINA 2.2.7 und 2.1.12 beheben über ein Dutzend Schwachstellen, darunter mehrere kritische und hochgradige Lücken, die Angreifern die Fernausführung von beliebigem Code (Remote Code Execution) ermöglichen könnten. Die gefährlichsten Anfällbarkeiten betreffen das HTTP/2-Protokoll und Deserialisierungsprozesse, welche durch manipulierte Nachrichten exploitiert werden können. Das Update adressiert auch Heap-Buffer-Overflows, Denial-of-Service-Risiken und Authentifizierungslücken. Für deutsche Unternehmen und Behörden ist dies hochrelevant, da der Apache HTTP Server eine der meistgenutzten Webserver-Lösungen weltweit darstellt – von kleinen Mittelständlern bis zu großen Organisationen und Behörden. Eine zeitnahe Installation der Patches ist essentiell, um Netzwerk-Infrastrukturen vor gezielten Angriffen zu schützen. Organisationen müssen zudem zusätzliche Konfigurationen vornehmen, um akzeptierte Datentypen in der Deserialisierung explizit zu definieren und damit das Risiko weiter zu minimieren.

Das Apache HTTP Server Update 2.4.67 behebt insgesamt elf Schwachstellen, von denen zehn alle bisherigen Versionen gefährden. Die kritischste Lücke trägt die Bezeichnung CVE-2026-23918 – ein Double-Free-Fehler im HTTP/2-Protokoll-Handling. Durch gezieltes Auslösen eines Early Reset könnte ein Angreifer sowohl eine Denial-of-Service-Bedingung (DoS) herbeiführen als auch beliebigen Code ausführen.

Ebenso besorgniserregend ist CVE-2026-28780, ein Heap-Buffer-Overflow in der AJP-Nachrichtenverarbeitung. Auch hier können Angreifer remote Code ausführen oder DoS-Zustände provozieren.

Zusätzlich patcht Apache drei weitere Schwachstellen (CVE-2026-29168, CVE-2026-29169, CVE-2026-33007), die DoS-Attacken ermöglichen, sowie vier weitere Lücken (CVE-2026-24072, CVE-2026-33857, CVE-2026-34032, CVE-2026-34059), die Informationspreisgabe begünstigen. Besondere Aufmerksamkeit verdient auch CVE-2026-33523, eine Schwäche bei der CRLF-Sequenzneutralisierung, die Angreifern erlaubt, HTTP-Responses zu manipulieren. Hinzu kommt CVE-2026-33006, eine Timing-Seitenkanal-Schwäche, die zur Umgehung der Digest-Authentifizierung führen kann.

Parallel dazu veröffentlichte Apache die Versionen MINA 2.2.7 und MINA 2.1.12 mit Fixes für zwei kritische Schwachstellen. CVE-2026-42778 ist eine unvollständige Behebung von CVE-2026-41409, welche wiederum CVE-2024-52046 unzureichend adressiert – eine unsichere Deserialisierung, die RCE ermöglicht. CVE-2026-42779 betrifft ein fehlerhaftes Kontrollverfahren mit Allowlist-Umgehung und Code-Execution-Potenzial.

Apache empfiehlt Organisationen dringend, nach dem Update explizit die akzeptierten Klassen in der ObjectSerializationDecoder-Instanz freizugeben. Deutsche Systemadministratoren sollten Patches unverzüglich einspielen und ihre Systeme auf unerlaubte Zugriffe prüfen. Besitzer von kritischen Infrastrukturen unterliegen zusätzlich strengeren Compliance-Anforderungen und sollten das BSI informieren, falls Kompromittierungen vorliegen.

Ähnliche Artikel