Zraniteľnosť v Apache httpd, zneužiteľná pre vzdialené vykonávanie kódu cez HTTP/2

Bola vydaná verzia HTTP servera Apache 2.4.71, ktorá odstraňuje zraniteľnosť (CVE-2026-119618) v module mod_http2, pričom jej bol priradený kritický stupeň nebezpečenstva. Zraniteľnosť umožňuje vzdialené vykonanie vlastného kódu na serveri pri zaslaní špeciálne formátovanej požiadavky prostredníctvom protokolu HTTP/2. Zraniteľnosť sa prejavuje od verzií Apache httpd 2.4.55 a týka sa aj samostatného modulu mod_h2, ktorý je distribuovaný cez GitHub. Stav odstránenia zraniteľností v distribúciách je možné posúdiť na týchto stránkach: Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch,
Fedora, FreeBSD.

Problém bol spôsobený stavom pretekania pri súčasnom volaní funkcie assign_headers() z rôznych vlákien, vznikajúcim v dôsledku spracovania spoločnej štruktúry pre všetky vlákna (req->headers) a nie samostatnej pre každé vlákno (r->headers_in). Pri úspešnom zneužití môže útočník dosiahnuť zmenu pamäte mimo vyhradeného bufferu. Zraniteľnosť bola približne v tom istom čase identifikovaná výskumníkmi z firiem Anthropic a Google. Exploit zatiaľ nebol verejne zverejnený. Ako obchádzajúce riešenie blokovania zraniteľnosti stačí vypnúť spracovanie pripojení cez protokol HTTP/2 v konfiguračnom súbore httpd.conf pomocou direktívy „Protocols http/1.1“.

Podľa septembrovej správy spoločnosti Netcraft beží na Apache httpd približne 170 miliónov webových stránok (11,56%). Nebolo oznámené, na ktorých z nich sa používa HTTP/2.

Zdroj: opennet.ru