Vulnerability in Apache httpd exploited for remote code execution via HTTP/2

Opublikowano wydanie serwera HTTP Apache 2.4.71, w którym naprawiono lukę (CVE-2026-119618) w module mod_http2, przypisaną do krytycznego poziomu zagrożenia. Luka ta umożliwia zdalne wykonanie własnego kodu na serwerze przy wysyłaniu specjalnie sformatowanego żądania protokołem HTTP/2. Luka występuje od wersji Apache httpd 2.4.55 i dotyczy również osobnego modułu mod_h2, rozpowszechnianego przez GitHub. Status naprawy luk w dystrybucjach można ocenić na tych stronach: Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch,
Fedora, FreeBSD.

Problem wynika z warunku wyścigu podczas jednoczesnego wywoływania funkcji assign_headers() z różnych wątków, spowodowanego przetwarzaniem przez funkcję wspólnej dla wszystkich wątków struktury (req->headers), a nie osobnej kopii (r->headers_in) dla każdego wątku. Przy pomyślnej eksploatacji atakujący może wymusić zmianę pamięci poza przydzielonym buforem. Luka została wykryta w tym samym czasie przez badaczy z firm Anthropic i Google. Exploit nie został jeszcze opublikowany publicznie. Aby zablokować lukę, wystarczy wyłączyć obsługę połączeń przez protokół HTTP/2 w pliku konfiguracyjnym httpd.conf za pomocą dyrektywy „Protocols http/1.1”.

Zgodnie z wrześniowym raportem firmy Netcraft, około 170 mln stron (11,56%) działa na Apache httpd. Nie podano, na ile z nich używany jest HTTP/2.

Źródło: opennet.ru