Apache HTTP Server mod_http2-də kritik yarış vəziyyəti RCE-yə gətirə bilər

Apache HTTP Server-in HTTP/2 modulunda (mod_http2) kritik sinxronizasiya zəifliyi, CVE-2026-119618, aşkar edilib. Qüsur assign_headers() funksiyasındakı yarış vəziyyətidir və uzaqdan, kimlik doğrulaması olmayan hücumçunun yığın yaddaşını pozmasına və istənilən kodun icrasına gətirib çıxara bilər. Bloqun dərc olunduğu tarixə görə, istismar vasitəsi mövcud deyil və vəhşi təbiətdə istismar halları barədə məlumat yoxdur.

Aşkar edilməsi və texniki təfərrüatlar

Məsələ Anthropic və Google Cloud-un Zəifliklərin Araşdırılması Komandası tərəfindən müstəqil şəkildə aşkar edilib. O, mod_http2 daxilindəki assign_headers() funksiyasında mövcuddur; paylaşılan resurslar üzərində eyni vaxtda icra olunan axınların sinxronizasiyasının düzgün olmaması yığın yaddaşının pozulmasına səbəb ola bilər. Bu yaddaş pozuntusu hostinq serverində RCE üçün istifadə edilə bilər və icazəsiz təhdid aktyorlarına veb-server prosesinin səlahiyyətləri ilə istənilən əmrləri icra etməyə imkan verər.

Bulud mühitlərinə risk

Bulud mühitlərində konteynerləşdirilmiş və ya virtualizasiya edilmiş iş yükü işlədən ələ keçirilmiş Apache instansı yanal hərəkət üçün giriş nöqtəsi ola bilər və qonşu mikroservisləri və ya bulud metadata son nöqtələrini ifşa edə bilər. Wiz məlumatına görə, bulud mühitlərinin 64%-ində CVE-2026-119618 zəifliyinə məruz qalan resurslar var, 51%-ində isə ictimaiyyətə açıq instanslar var. Mənbə qeyd edir ki, bu, konfiqurasiyanı nəzərə almır.

Təsirlənən versiyalar

Zəiflik Apache HTTP Server-də HTTP/2 imkanlarından istifadə edən yerləşdirmələrə təsir edir. Təsirlənən versiyalar Apache HTTP Server 2.4.55-dən 2.4.70-ə qədərdir, 2.4.71 və daha yeni versiyalar yamalanmış kimi qeyd olunub. GitHub mod_h2 modulu üçün 2.0.8-dən 2.0.42-yə qədər versiyalar təsir edir, 2.0.24 və daha yeni versiyalar yamalanmış kimi qeyd olunub.

Tövsiyə olunan tədbirlər

Təhlükəsizlik komandaları Apache HTTP Server-i 2.4.71 və ya daha yeni versiyaya yüksəltməli və GitHub-dan standalone mod_h2 quruluşlarını 2.0.42-dən daha yeni versiyaya yeniləməlidir. Dərhal yamaqlama mümkün deyilsə, httpd.conf kimi konfiqurasiya faylını redaktə edərək HTTP/2 dəstəyini müvəqqəti olaraq söndürmək və aktiv protokolları HTTP/1.1 ilə məhdudlaşdırmaq, h2 və h2c istinadlarını silmək olar; nümunə Protocols http/1.1 təyin edir. Wiz müştəriləri mühitlərində zəif instansları axtarmaq üçün Wiz Threat Center-dəki əvvəlcədən hazırlanmış sorğu və məsləhətdən istifadə edə bilərlər. Mənbə həmçinin Apache HTTP Server buraxılış qeydlərinə istinad edir.

Mənbələr: wiz.io