Një vulnerabilitet në Apache httpd, i shfrytëzuar për ekzekutimin e kodit nga distanca përmes HTTP/2

Është publikuar versioni i shërbimit HTTP Apache 2.4.71, në të cilin është eliminuar një cenueshmëri (CVE-2026-119618) në modulit mod_http2, i cili ka niveli kritik të rrezikshmërisë. Cenuershmëria lejon ekzekutimin e kodit të vet në server në mënyrë të largët duke dërguar një kërkesë të formatuar posaçërisht për protokollin HTTP/2. Cenuershmëria shfaqet duke filluar nga versionet Apache httpd 2.4.55 dhe prek gjithashtu modulin e veçantë mod_h2, i shpërndarë përmes GitHub. Statusi i eliminimit të cenueshmërive në distribucione mund të vlerësohet në këto faqe: Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch,
Fedora, FreeBSD.

Problemi shkaktohet nga një gjendje garuese kur funksioni assign_headers() thirret në të njëjtën kohë nga këto procese, duke lindur nga trajtimi nga funksioni i një strukture të përbashkët për të gjitha proceset (req->headers), në vend që të ishte një kopje e veçantë për çdo proces (r->headers_in). Nëse exploit-u është i suksesshëm, sulmuesi mund të arrijë të ndryshojë memorie jashtë buffers të alokuara. Cenuershmëria është zbuluar në një kohë të ngjashme nga hulumtuesit e kompanive Anthropic dhe Google. Eksploiti ende nuk është publikuar publikisht. Si një zgjidhje anësore për të bllokuar cenueshmërinë, mjafton të çaktivizohet trajtimi i lidhjeve me protokollin HTTP/2 në skedarin e konfigurimit httpd.conf përmes direktivës "Protocols http/1.1".

Sipas raportit të muajit Shtator nga kompania Netcraft, rreth 170 milion faqeve interneti (11.56%) funksionojnë nën menaxhimin e Apache httpd. Nuk raportohet se në cilat prej tyre përdoret HTTP/2.

Burimi: opennet.ru