Sicherheitsanfälligkeit in Apache httpd, die zur Remote-Codeausführung über HTTP/2 ausgenutzt wird

Die Veröffentlichung des HTTP-Servers Apache 2.4.71, in der eine Schwachstelle (CVE-2026-119618) im Modul mod_http2 mit kritischem Gefährdungsgrad behoben wurde, ist erfolgt. Die Schwachstelle ermöglicht es, durch das Senden einer speziell gestalteten Anfrage über das HTTP/2-Protokoll Code remote auf dem Server auszuführen. Die Schwachstelle tritt ab den Versionen Apache httpd 2.4.55 auf und betrifft auch das separate Modul mod_h2, das über GitHub verteilt wird. Der Status der Behebung von Sicherheitsanfälligkeiten in den Distributionen kann auf den folgenden Seiten überprüft werden: Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch.
Fedora, FreeBSD.

Das Problem wird durch einen Race-Condition-Zustand verursacht, der auftritt, wenn die Funktion assign_headers() aus verschiedenen Threads gleichzeitig aufgerufen wird. Dies geschieht durch die Verarbeitung einer für alle Threads gemeinsamen Struktur (req->headers) anstelle einer separaten Kopie für jeden Thread (r->headers_in). Bei erfolgreicher Ausnutzung kann der Angreifer Änderungen am Speicher außerhalb des zugewiesenen Puffers erreichen. Die Schwachstelle wurde nahezu gleichzeitig von Forschern der Unternehmen Anthropic und Google entdeckt. Ein expliziter Exploit wurde bislang nicht öffentlich veröffentlicht. Als Workaround genügt es, die Verarbeitung von Verbindungen über das HTTP/2-Protokoll in der Konfigurationsdatei httpd.conf durch die Direktive „Protocols http/1.1“ zu deaktivieren.

Laut dem September-Bericht des Unternehmens Netcraft laufen etwa 170 Millionen Websites (11,56 %) unter Apache httpd. Welche davon HTTP/2 verwenden, wird nicht mitgeteilt.

Quelle: opennet.ru