Haavatavus Apache httpd-s, mida kasutatakse kaugkoodide teostamiseks HTTP/2 kaudu

Avalikustatud on Apache HTTP serveri 2.4.71 versioon, milles on kõrvaldatud haavatavus (CVE-2026-119618) mod_http2 moodulis, millele on määratud kriitiline ohuaste. Haavatavus võimaldab kaugtäitmist koodi serveris, kui saadetakse spetsiaalselt vormindatud päring HTTP/2 protokolli kaudu. Haavatavus ilmneb alates Apache httpd versioonidest 2.4.55 ja see mõjutab ka eraldi mod_h2 moodulit, mille levitamine toimub GitHub'i kaudu. Haavatavuste kõrvaldamise staatust distributsioonides saab hinnata järgmistel lehtedel: Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch,
Fedora, FreeBSD.

Probleem on põhjustatud võistlusolukorrast, mis tekib samaaegse assign_headers() funktsiooni kutsumise tõttu erinevates voogudes, mis tuleneb funktsiooni töötlemisest, mis jagab kõikide voogude vahel struktuuri (req->headers), mitte iga voo jaoks eraldi koopiat (r->headers_in). Eduka rünnaku korral võib ründaja saavutada mälu muutmise väljaspool eraldatud puhvrit. Haavatavus tuvastati samaaegselt Anthropic ja Google'i teadlaste poolt. Eksploiti ei ole veel avalikult avaldatud. Haavatavuse blokeerimiseks piisab, kui keelata HTTP/2 protokolli töötlemine httpd.conf konfigureerimisfailis, kasutades direktiivi „Protocols http/1.1”.

Septembri Netcrafti aruande kohaselt töötab Apache httpd all umbes 170 miljonit veebisaiti (11.56%). Millistel neist kasutatakse HTTP/2, ei ole teavet.

Allikas: opennet.ru