Опубликован релиз HTTP-сервера Apache 2.4.71, в котором устранена уязвимость (CVE-2026-119618) в модуле mod_http2, которой присвоен критический уровень опасности. Уязвимость позволяет удалённо выполнить свой код на сервере при отправке специально оформленного запроса по протоколу HTTP/2. Уязвимость проявляется начиная с версий Apache httpd 2.4.55 и также затрагивает отдельный модуль mod_h2, распространяемый через GitHub. Статус устранения уязвимостей в дистрибутивах можно оценить на данных страницах: Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch, Fedora, FreeBSD. Проблема вызвана состоянием гонки при одновременном вызове функции assign_headers() из разных потоков, возникающем из-за обработки функцией общей для всех потоков структуры (req->headers), а не отдельной для каждого потока копии (r->headers_in). При успешной эксплуатации атакующий может добиться изменения памяти вне выделенного буфера. Уязвимость примерно в одно время выявлена исследователями из компаний Anthropic и Google. Эксплоит пока не опубликован публично. В качестве обходного пути блокирования уязвимости достаточно отключить обработку соединений по протоколу HTTP/2 в файле конфигурации httpd.conf через директиву "Protocols http/1.1". В соответствии с сентябрьским отчётом компании Netcraft под управлением Apache httpd работает около 170 млн сайтов (11.56%). На каких из них используется HTTP/2 не сообщается.
Источник: https://www.opennet.ru/opennews/art.shtml?num=66673
Источник: https://www.opennet.ru/opennews/art.shtml?num=66673