ProHoster > Blogs > Interneta ziņas > Vulnerabilitāte Apache httpd, kas tiek izmantota attālinātai koda izpildei caur HTTP/2

Vulnerabilitāte Apache httpd, kas tiek izmantota attālinātai koda izpildei caur HTTP/2

Tika ir publicēts Apache 2.4.71 HTTP servera izlaidums, kurā ir novērsta kritiska ievainojamÄ«ba (CVE-2026-119618) mod_http2 modulÄ«. IevainojamÄ«ba ļauj attālināti izpildÄ«t savu kodu serverÄ«, nosÅ«tot speciāli sagatavotu pieprasÄ«jumu, izmantojot HTTP/2 protokolu. IevainojamÄ«ba ir identificēta ar Apache httpd versijām 2.4.55 un arÄ« ietekmē atseviŔķo mod_h2 moduli, kas pieejams GitHub. IevainojamÄ«bu novērÅ”anas statuss distribÅ«cijās var tikt novērtēts Å”ajās lapās: Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch,
Fedora, FreeBSD.

Problēma ir saistÄ«ta ar sacensÄ«bu stāvokli, vienlaikus izsaucot funkciju assign_headers() no dažādiem pavedieniem, kas rodas, apstrādājot funkciju, kas izmanto kopÄ«gu struktÅ«ru (req->headers) visiem pavedieniem, nevis atseviŔķu katra pavediena kopiju (r->headers_in). VeiksmÄ«gi exploatējot, uzbrucējs var panākt, ka tiek mainÄ«ta atmiņa ārpus pieŔķirtā bufera. IevainojamÄ«ba ir identificēta aptuveni tajā paŔā laikā, kad to atklājuÅ”i pētnieki no uzņēmumiem Anthropic un Google. Eksploits vēl nav publiski publicēts. Kā apiet risinājumu ir pietiekami atspējot HTTP/2 savienojumu apstrādi failā httpd.conf, izmantojot direktÄ«vu 'Protocols http/1.1'.

Saskaņā ar Netcraft septembra ziņojumu, Apache httpd paÅ”laik darbojās apmēram 170 miljonos vietņu (11.56%). Nav ziņu par to, cik no tām izmanto HTTP/2.

Avots: opennet.lv

Iegādājieties uzticamu tÄ«mekļa hostingu ar DDoS aizsardzÄ«bu, VPS VDS serveriem šŸ”„ Iegādājieties uzticamu tÄ«mekļa hostingu ar DDoS aizsardzÄ«bu, VPS VDS serveriem | ProHoster