Vulnerability in Apache httpd, exploited for remote code execution via HTTP/2

Objavljen je izdanak HTTP poslužitelja Apache 2.4.71, u kojem je otklonjena ranjivost (CVE-2026-119618) u modulu mod_http2, kojoj je dodijeljena kritična razina opasnosti. Ova ranjivost omogućava daljinsko izvršavanje vlastitog koda na poslužitelju prilikom slanja posebno oblikovanog zahtjeva putem protokola HTTP/2. Ranjivost se manifestira od verzija Apache httpd 2.4.55 i također utječe na zasebni modul mod_h2, koji se distribuira putem GitHub-a. Status otklanjanja ranjivosti u distribucijama može se procijeniti na ovim stranicama: Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch,
Fedora, FreeBSD.

Problem je uzrokovan stanjem utrke prilikom istodobnog poziva funkcije assign_headers() iz različitih niti, što se događa zbog obrade zajedničke strukture za sve niti (req->headers), a ne zasebne kopije za svaku nit (r->headers_in). Ako se uspješno iskoristi, napadač može postići promjenu memorije izvan dodijeljenog ulaštenog prostora. Ranjivost su otkrili istraživači iz tvrtki Anthropic i Google u približno isto vrijeme. Eksploit još nije javno objavljen. Kao privremeno rješenje za blokiranje ranjivosti, dovoljno je onemogućiti obradu veza putem protokola HTTP/2 u datoteci httpd.conf pomoću direktive 'Protocols http/1.1'.

Prema rujanskom izvještaju tvrtke Netcraft, oko 170 milijuna web stranica (11.56%) koristi Apache httpd. Nije navedeno na kojima se koristi HTTP/2.

Izvor: opennet.ru