Vulnérabilité dans Apache httpd, exploitée pour l'exécution distante de code via HTTP/2

La version 2.4.71 du serveur HTTP Apache a été publiée, corrigeant une vulnérabilité (CVE-2026-119618) dans le module mod_http2, classée comme critique. Cette vulnérabilité permet l'exécution de code à distance sur le serveur via l'envoi d'une requête spécialement formatée par le protocole HTTP/2. Elle affecte les versions Apache httpd à partir de 2.4.55 et touche également le module mod_h2, disponible sur GitHub. L'état des correctifs pour les distributions peut être évalué sur ces pages : Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch.
Fedora, FreeBSD.

Le problème est causé par une condition de concurrence lors de l'appel simultané de la fonction assign_headers() depuis différents threads, en raison de la gestion par la fonction d'une structure partagée par tous les threads (req->headers) au lieu d'une copie distincte pour chaque thread (r->headers_in). En cas d'exploitation réussie, un attaquant peut modifier la mémoire en dehors du tampon attribué. La vulnérabilité a été identifiée presque simultanément par les chercheurs des entreprises Anthropic et Google. Aucun exploit n'a encore été publié publiquement. Comme solution de contournement pour bloquer cette vulnérabilité, il suffit de désactiver le traitement des connexions via le protocole HTTP/2 dans le fichier de configuration httpd.conf avec la directive « Protocols http/1.1 ».

Selon le rapport de septembre de la société Netcraft, environ 170 millions de sites (11,56 %) fonctionnent sous Apache httpd. Aucune information n'est fournie sur ceux qui utilisent HTTP/2.

Source : opennet.ru