Kwetsbaarheid in Apache httpd, die wordt uitgebuit voor remote code execution via HTTP/2

De release van HTTP-server Apache 2.4.71 is gepubliceerd, waarin een kwetsbaarheid (CVE-2026-119618) in de mod_http2-module is verholpen, die als kritiek wordt geclassificeerd. De kwetsbaarheid stelt een aanvaller in staat om op afstand zijn eigen code op de server uit te voeren door een speciaal opgestelde aanvraag via het HTTP/2-protocol te verzenden. De kwetsbaarheid doet zich voor vanaf Apache httpd-versies 2.4.55 en raakt ook de afzonderlijke mod_h2-module die via GitHub wordt verspreid. De status van het verhelpen van kwetsbaarheden in de distributies kan worden beoordeeld op deze pagina's: Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch.
Fedora, FreeBSD.

Het probleem wordt veroorzaakt door een race-condition bij gelijktijdige aanroepen van de functie assign_headers() vanuit verschillende threads, wat voortkomt uit de verwerking van een gedeelde structuur (req->headers) voor alle threads, in plaats van een afzonderlijke kopie per thread (r->headers_in). Bij succesvolle exploitatie kan een aanvaller geheugen buiten de toegewezen buffer wijzigen. De kwetsbaarheid werd ongeveer gelijktijdig ontdekt door onderzoekers van Anthropic en Google. De exploit is voorlopig nog niet publiekelijk gepubliceerd. Als tijdelijke oplossing voor het blokkeren van de kwetsbaarheid is het voldoende om de verwerking van verbindingen via het HTTP/2-protocol in het httpd.conf-configuratiebestand uit te schakelen met de instructie "Protocols http/1.1".

Volgens het septemberrapport van Netcraft draait ongeveer 170 miljoen websites (11,56%) op Apache httpd. Welke van deze websites gebruik maken van HTTP/2 is niet bekendgemaakt.

Bron: opennet.ru