Sårbarhet i Apache httpd, utnyttet for fjernkjøring av kode via HTTP/2

Apache 2.4.71-verjonen er utgitt, der en kritisk sårbarhet (CVE-2026-119618) i mod_http2-modulen er blitt utbedret. Sårbarheten lar en angriper eksternt utføre sin egen kode på serveren ved å sende en spesialtilpasset forespørsel via HTTP/2-protokollen. Sårbarheten oppstår i versjoner av Apache httpd fra 2.4.55 og påvirker også mod_h2-modulen, som distribueres via GitHub. Status for utbedring av sårbarheter i distribusjoner kan vurderes på følgende sider: Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch,
Fedora, FreeBSD.

Problemet er forårsaket av en kappløpsbetingelse ved samtidig kall av assign_headers()-funksjonen fra forskjellige tråder, som oppstår fordi funksjonen behandler en felles strukture (req->headers) for alle tråder, i stedet for en kopi for hver tråd (r->headers_in). Ved vellykket utnyttelse kan en angriper oppnå endringer i minnet utenfor den tildelte bufferen. Sårbarheten ble omtrent samtidig oppdaget av forskere fra selskapene Anthropic og Google. En exploit er ennå ikke offentliggjort. Som en måte å omgå sårbarheten på, er det tilstrekkelig å deaktivere behandlingen av tilkoblinger via HTTP/2 i httpd.conf-konfigurasjonsfilen ved å bruke direktivet «Protocols http/1.1».

Ifølge Netcrafts september-rapport kjører omtrent 170 millioner nettsteder (11.56%) på Apache httpd. Vi får ikke informasjon om hvilke av dem som bruker HTTP/2.

Kilde: opennet.ru