Sårbarhed i Apache httpd, udnyttet til fjernudførelse af kode via HTTP/2

Apache HTTP-server version 2.4.71 er udgivet, hvori en kritisk sårbarhed (CVE-2026-119618) i mod_http2-modulet er blevet rettet. Denne sårbarhed giver mulighed for at udføre ondsindet kode eksternt på serveren ved at sende et specielt designet HTTP/2-anmodning. Sårbarheden optræder fra version 2.4.55 af Apache httpd og påvirker også det separate mod_h2-modul, der distribueres via GitHub. Status for lappede sårbarheder i distributionerne kan vurderes på disse sider: Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch.
Fedora, FreeBSD.

Problemet skyldes en race-tilstand ved samtidig kald af funktionen assign_headers() fra forskellige tråde, som opstår på grund af, at funktionen behandler en delt struktur (req->headers) og ikke en separeret kopi for hver tråd (r->headers_in). Ved succesfuld udnyttelse kan en angriber ændre hukommelse uden for den tildelte buffer. Sårbarheden blev opdaget omtrent samtidigt af forskere fra Anthropic og Google. Exploit'en er endnu ikke offentliggjort. Som en midlertidig løsning til at blokere sårbarheden kan man blot deaktivere håndteringen af forbindelser over HTTP/2 i httpd.conf-konfigurationsfilen ved hjælp af direktivet "Protocols http/1.1".

I henhold til septembers rapport fra Netcraft kører omkring 170 millioner websteder (11,56%) på Apache httpd. Det oplyses ikke, hvor mange af dem der bruger HTTP/2.

Kilde: opennet.ru