Zranitelnost v Apache httpd, využívaná k vzdálenému vykonávání kódu přes HTTP/2

Byla vydaná verze HTTP serveru Apache 2.4.71, která řeší zranitelnost (CVE-2026-119618) v modulu mod_http2, přičemž byla označena jako kritická. Tato zranitelnost umožňuje vzdálené spuštění vlastního kódu na serveru při odeslání speciálně formátovaného požadavku protokolem HTTP/2. Zranitelnost se projevuje od verzí Apache httpd 2.4.55 a také se týká samostatného modulu mod_h2, který je distribuován prostřednictvím GitHubu. Stav oprav zranitelností v distribucích lze vyhodnotit na těchto stránkách: Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch.
Fedora, FreeBSD.

Problém je způsoben stavem závodu při současném volání funkce assign_headers() z různých vláken, což vzniká zpracováním sdílené struktury (req->headers) pro všechna vlákna, a nikoli z jednotlivé kopie pro každé vlákno (r->headers_in). Při úspěšném zneužití může útočník dosáhnout změny paměti mimo vyhrazený buffer. Zranitelnost byla přibližně ve stejnou dobu odhalena výzkumníky ze společností Anthropic a Google. Exploit zatím nebyl veřejně zveřejněn. Jako obcházející opatření k zablokování zranitelnosti stačí vypnout zpracování spojení protokolem HTTP/2 v konfiguračním souboru httpd.conf pomocí direktivy „Protocols http/1.1“.

Podle zářijové zprávy společnosti Netcraft běží na Apache httpd přibližně 170 milionů webů (11,56 %). Není však uvedeno, na kolika z nich se používá HTTP/2.

Zdroj: opennet.ru