Vulnerability in Apache httpd, exploited for remote code execution via HTTP/2

Objavljen je izdanje HTTP poslužitelja Apache 2.4.71, u kojem je otklonjena ranjivost (CVE-2026-119618) u modulu mod_http2, kojem je dodijeljen kritičan nivo opasnosti. Ranjivost omogućava udaljeno izvršavanje vlastitog koda na poslužitelju prilikom slanja posebno oblikovanog zahtjeva putem protokola HTTP/2. Ranjivost se pojavljuje od verzija Apache httpd 2.4.55 i takođe zahvata poseban modul mod_h2, distribuiran putem GitHub-a. Status otklanjanja ranjivosti u distribucijama može se procijeniti na ovim stranicama: Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch.
Fedora, FreeBSD.

Problem je uzrokovan stanjem utrke pri istovremenom pozivu funkcije assign_headers() iz različitih niti, nastajem zbog obrade funkcijom zajedničke za sve niti strukture (req->headers), a ne zasebne kopije za svaku nit (r->headers_in). Pri uspješnoj eksploataciji napadač može izazvati promjenu memorije izvan dodijeljenog bafer-a. Ranjivost je otkrivena otprilike u isto vrijeme od strane istraživača kompanija Anthropic i Google. Eksploit još nije javno objavljen. Kao zaobiđeno rješenje za blokiranje ranjivosti, dovoljno je onemogućiti obradu veza putem protokola HTTP/2 u datoteci konfiguracije httpd.conf putem direktive „Protocols http/1.1”.

Prema septembarskom izvještaju kompanije Netcraft, pod upravom Apache httpd radi oko 170 miliona sajtova (11.56%). Na kojima se koristi HTTP/2 nije navedeno.

Izvor: opennet.ru