Vulnerabilità in Apache httpd, sfruttata per l'esecuzione remota di codice tramite HTTP/2

È stata pubblicata la versione del server HTTP Apache 2.4.71, in cui è stata risolta una vulnerabilità (CVE-2026-119618) nel modulo mod_http2, classificata come critica. Questa vulnerabilità consente l'esecuzione remota di codice sul server inviando una richiesta appositamente formattata tramite il protocollo HTTP/2. La vulnerabilità si manifesta a partire dalle versioni Apache httpd 2.4.55 e colpisce anche il modulo separato mod_h2, distribuito tramite GitHub. Lo stato della risoluzione delle vulnerabilità nelle distribuzioni può essere valutato alle seguenti pagine: Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch.
Fedora, FreeBSD.

Il problema è causato da una condizione di gara durante la chiamata simultanea della funzione assign_headers() da diversi thread, dovuta all'elaborazione della struttura condivisa (req->headers) anziché di una copia separata per ciascun thread (r->headers_in). Se sfruttata con successo, un attaccante può ottenere l'alterazione della memoria al di fuori del buffer allocato. La vulnerabilità è stata identificata quasi contemporaneamente da ricercatori delle aziende Anthropic e Google. Un exploit non è ancora stato pubblicato pubblicamente. Come soluzione per bloccare la vulnerabilità, è sufficiente disabilitare la gestione delle connessioni tramite protocollo HTTP/2 nel file di configurazione httpd.conf tramite la direttiva "Protocols http/1.1".

Secondo il rapporto di settembre della Netcraft, circa 170 milioni di siti web (11,56%) sono gestiti da Apache httpd. Non è specificato quanti di essi utilizzino HTTP/2.

Fonte: opennet.ru