Apache httpd sérelme, amelyet távoli kódvégrehajtásra használnak a HTTP/2-n keresztül

Megjelent az Apache HTTP-szerver 2.4.71-es verziója, amelyben egy kritikus veszélyességű (CVE-2026-119618) sebezhetőséget javítottak a mod_http2 modulban. A sebezhetőség lehetővé teszi a támadó számára, hogy távolról végezzen el kódot a szerveren, speciálisan formázott HTTP/2 kérés küldésével. A sebezhetőség az Apache httpd 2.4.55-ös verziójától kezdődően jelentkezik, és érinti a GitHub-on keresztül terjesztett mod_h2 modult is. A sebezhetőségek javításának státuszát az alábbi oldalakon lehet megtekinteni: Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch.
Fedora, FreeBSD.

A probléma egy versenyhelyzetből adódik, amikor az assign_headers() függvényt párhuzamosan hívják meg különböző szálakból, ami egy közös, minden szál számára elérhető struktúra (req->headers) feldolgozásából adódik, ahelyett, hogy minden szál saját másolatot használna (r->headers_in). Ha a támadó sikeresen kihasználja ezt, elérheti a memória módosítását a kiosztott pufferen kívül. A sebezhetőséget egyidejűleg fedezték fel az Anthropic és a Google cégek kutatói. Az exploit eddig még nem lett nyilvánosan közzétéve. A sebezhetőség blokkolásának alternatívájaként elegendő, ha letiltják a HTTP/2 protokoll kezelését a httpd.conf konfigurációs fájlban a „Protocols http/1.1” utasítással.

A Netcraft szeptemberi jelentése szerint körülbelül 170 millió weboldal működik Apache httpd alatt (11,56%). Azon weboldalak, amelyek HTTP/2-t használnak, nem kerültek megemlítésre.

Forrás: opennet.ru