Vulnerabilitate în Apache httpd, exploatată pentru execuția de cod de la distanță prin HTTP/2

A fost publicat release-ul HTTP serverului Apache 2.4.71, în care a fost remediată o vulnerabilitate (CVE-2026-119618) în modulul mod_http2, care a fost evaluată cu un nivel critic de pericol. Vulnerabilitatea permite executarea de cod de la distanță pe server prin trimiterea unei cereri special formulate prin protocolul HTTP/2. Vulnerabilitatea apare începând cu versiunile Apache httpd 2.4.55 și afectează, de asemenea, modulul separat mod_h2, distribuit prin GitHub. Statusul remedierii vulnerabilităților în distribuțiile poate fi evaluat pe aceste pagini: Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch.
Fedora, FreeBSD.

Problema este cauzată de o stare de competiție la apelul simultan al funcției assign_headers() din fire diferite, care apare din cauza procesării de către funcție a unei structuri comune pentru toate firele (req->headers), și nu o copie separată pentru fiecare fir (r->headers_in). În cazul exploatării reușite, atacatorul poate obține modificarea memoriei în afara bufferului alocat. Vulnerabilitatea a fost descoperită în aceeași perioadă de cercetătorii din companiile Anthropic și Google. Un exploit nu a fost publicat încă. Ca o soluție temporară pentru blocarea vulnerabilității, este suficient să dezactivați procesarea conexiunilor prin protocolul HTTP/2 în fișierul de configurare httpd.conf prin directiva „Protocols http/1.1”.

Conform raportului din septembrie al companiei Netcraft, aproximativ 170 milioane de site-uri (11,56%) funcționează pe baza Apache httpd. Nu se specifică care dintre acestea utilizează HTTP/2.

Sursa: opennet.ro