Vulnerabilidade no Apache httpd, explorada para execução remota de código via HTTP/2

Foi lançado o Apache HTTP Server 2.4.71, que corrige uma vulnerabilidade (CVE-2026-119618) no módulo mod_http2, classificada como crítica. A vulnerabilidade permite a execução remota de código no servidor ao enviar uma solicitação especialmente formatada pelo protocolo HTTP/2. Essa vulnerabilidade se manifesta a partir das versões Apache httpd 2.4.55 e também afeta o módulo separado mod_h2, distribuído através do GitHub. O estado de correção das vulnerabilidades nas distribuições pode ser avaliado nas seguintes páginas: Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch,
Fedora, FreeBSD.

O problema é causado por uma condição de corrida ao invocar simultaneamente a função assign_headers() a partir de diferentes threads, resultante do tratamento pela função de uma estrutura comum a todos os threads (req->headers), e não uma cópia separada para cada thread (r->headers_in). Se explorado com sucesso, o atacante pode conseguir alterar a memória fora do buffer alocado. A vulnerabilidade foi identificada aproximadamente ao mesmo tempo por pesquisadores das empresas Anthropic e Google. O exploit ainda não foi publicado publicamente. Como uma solução alternativa para bloquear a vulnerabilidade, basta desabilitar o processamento de conexões pelo protocolo HTTP/2 no arquivo de configuração httpd.conf através da diretiva "Protocols http/1.1".

De acordo com o relatório de setembro da empresa Netcraft, cerca de 170 milhões de sites (11,56%) estão sob Apache httpd. Não se informa quantos deles utilizam HTTP/2.

Fonte: opennet.ru