Vulnerabilidad en Apache httpd, explotable para ejecución remota de código a través de HTTP/2

Se ha publicado la versión del servidor HTTP Apache 2.4.71, que soluciona una vulnerabilidad (CVE-2026-119618) en el módulo mod_http2, la cual se ha clasificado como de gravedad crítica. Esta vulnerabilidad permite la ejecución remota de código en el servidor al enviar una solicitud especialmente formateada a través del protocolo HTTP/2. La vulnerabilidad aparece a partir de las versiones Apache httpd 2.4.55 y también afecta a un módulo separado mod_h2, distribuido a través de GitHub. El estado de corrección de las vulnerabilidades en las distribuciones puede evaluarse en estas páginas: Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch.
Fedora, FreeBSD.

El problema es causado por una condición de carrera al invocar simultáneamente la función assign_headers() desde diferentes hilos, que surge por el manejo por parte de la función de una estructura compartida entre todos los hilos (req->headers), en lugar de una copia separada para cada hilo (r->headers_in). Con una explotación exitosa, un atacante puede realizar cambios en la memoria fuera del búfer asignado. La vulnerabilidad fue identificada casi al mismo tiempo por investigadores de las empresas Anthropic y Google. Hasta ahora, el exploit no se ha publicado públicamente. Como solución alternativa para bloquear la vulnerabilidad, es suficiente deshabilitar el manejo de conexiones a través del protocolo HTTP/2 en el archivo de configuración httpd.conf mediante la directiva "Protocols http/1.1".

Según el informe de septiembre de la empresa Netcraft, alrededor de 170 millones de sitios web (11.56%) están gestionados por Apache httpd. No se informa en cuáles de ellos se utiliza HTTP/2.

Fuente: opennet.ru