En sårbarhet i Apache httpd som utnyttjas för fjärrkodexekvering via HTTP/2

Utgiven version av HTTP-servern Apache 2.4.71, där en sårbarhet (CVE-2026-119618) i modulen mod_http2 har åtgärdats, som har fått en kritisk betyg. Sårbarheten tillåter fjärrkörning av egen kod på servern vid sändning av en specifikt utformad begäran via protokollet HTTP/2. Sårbarheten förekommer från versionerna Apache httpd 2.4.55 och påverkar även den enskilda modulen mod_h2, som distribueras via GitHub. Status för åtgärder gällande sårbarheter i distributionerna kan bedömas på följande sidor: Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch.
Fedora, FreeBSD.

Problemet orsakas av ett tillstånd av rusch när funktionen assign_headers() anropas simultant från olika trådar, vilket uppstår på grund av att funktionen hanterar en gemensam struktur för alla trådar (req->headers), istället för en separat kopia för varje tråd (r->headers_in). Vid en lyckad utnyttjande kan angriparen åstadkomma ändringar i minnet utanför den allokerade bufferten. Sårbarheten har ungefär samtidigt identifierats av forskare från företagen Anthropic och Google. Exploit har ännu inte offentliggjorts. Som en tillfällig lösning för att blockera sårbarheten är det tillräckligt att stänga av hantering av anslutningar via protokollet HTTP/2 i konfigurationsfilen httpd.conf genom direktivet "Protocols http/1.1".

Enligt septemberrapporten från företaget Netcraft körs cirka 170 miljoner webbplatser (11,56%) på Apache httpd. Vilka av dessa som använder HTTP/2 anges inte.

Källa: opennet.ru