Уязвимост в Apache httpd, експлоатирана за отдалечено изпълнение на код чрез HTTP/2

Публикувана е версия на HTTP сървъра Apache 2.4.71, която поправя уязвимост (CVE-2026-119618) в модула mod_http2, присвоена с критичен ниво на опасност. Уязвимостта позволява отдалечено изпълнение на код на сървъра при изпращане на специално оформена заявка по протокола HTTP/2. Уязвимостта се проявява от версиите на Apache httpd 2.4.55 и също засяга отделния модул mod_h2, разпространяван чрез GitHub. Статусът на отстраняване на уязвимостите в дистрибуциите може да се оцени на следните страници: Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch,
Fedora, FreeBSD.

Проблемът е причинен от състояние на надбягване при едновременен извикване на функцията assign_headers() от различни нишки, възникваща от обработката на обща структура за всички нишки (req->headers), а не отделна копия за всяка нишка (r->headers_in). При успешно експлоатиране атакуващият може да постигне промяна на паметта извън заделения буфер. Уязвимостта е установена приблизително по същото време от изследователи на компаниите Anthropic и Google. Експлойтът все още не е публикуван публично. Като обходен вариант на блокиране на уязвимостта е достатъчно да се деактивира обработката на връзки по протокола HTTP/2 в конфигурационния файл httpd.conf чрез директивата „Protocols http/1.1“.

Според септемврийския доклад на компанията Netcraft, около 170 милиона сайта (11.56%) работят на Apache httpd. На кои от тях се използва HTTP/2, не се съобщава.

Източник: opennet.ru