Apache HTTP Server-ի mod_http2-ում կրիտիկական մրցավիճակային վիճակը կարող է հանգեցնել RCE-ի

Apache HTTP Server-ի HTTP/2 մոդուլում (mod_http2) հայտնաբերվել է կրիտիկական համաժամեցման խոցելիություն՝ CVE-2026-119618։ Խնդիրը assign_headers() ֆունկցիայում մրցավիճակային վիճակ է, որը կարող է թույլ տալ հեռակա չնույնականացված հարձակվողին վնասել heap հիշողությունը և հասնել կամայական կոդի կատարման։ Բլոգի հրապարակման պահին շահագործման կոդ հասանելի չէ, և վայրի պայմաններում շահագործման դեպքերի մասին հաղորդումներ չկան։

Հայտնաբերում և տեխնիկական մանրամասներ

Խնդիրը անկախ կերպով հայտնաբերել են Anthropic-ը և Google Cloud-ի խոցելիությունների հետազոտության թիմը։ Այն գոյություն ունի mod_http2-ի assign_headers() ֆունկցիայում, որտեղ ընդհանուր ռեսուրսների հետ զուգահեռ թելերի կատարման ժամանակ սխալ համաժամեցումը կարող է առաջացնել heap-ի վնասում։ Այդ հիշողության վնասումը կարող է օգտագործվել հոսթինգային սերվերում RCE իրականացնելու համար՝ թույլ տալով չլիազորված սպառնալիքի դերակատարներին կատարել կամայական հրամաններ վեբ սերվերի պրոցեսի արտոնություններով։

Ռիսկը ամպային միջավայրերում

Ամպային միջավայրերում վնասված Apache նմուշը, որը գործարկում է կոնտեյներային կամ վիրտուալացված աշխատանքային բեռներ, կարող է ծառայել որպես կողմնային տեղաշարժի մուտքի կետ՝ հնարավոր է՝ բացահայտելով հարևան միկրոսերվիսներ կամ ամպային մետատվյալների վերջնակետեր։ Wiz-ի տվյալներով՝ ամպային միջավայրերի 64%-ը ունի CVE-2026-119618-ին խոցելի ռեսուրսներ, իսկ 51%-ը՝ հանրորեն բացահայտված նմուշներ։ Աղբյուրը նշում է, որ սա կոնֆիգուրացիան հաշվի չի առնում։

Խոցելի տարբերակներ

Խոցելիությունը ազդում է Apache HTTP Server-ի HTTP/2 հնարավորություններն օգտագործող տեղակայումների վրա։ Խոցելի տարբերակներն են Apache HTTP Server-ի 2.4.55-ից մինչև 2.4.70-ը, իսկ 2.4.71-ը և ավելի նորերը նշված են որպես շտկված։ GitHub-ի mod_h2 մոդուլի համար խոցելի են 2.0.8-ից մինչև 2.0.42 տարբերակները, իսկ 2.0.24-ը և ավելի նորերը նշված են որպես շտկված։

Խորհուրդ տրվող գործողություններ

Անվտանգության թիմերը պետք է թարմացնեն Apache HTTP Server-ը 2.4.71 կամ ավելի նոր տարբերակի, իսկ GitHub-ից վերցված առանձին mod_h2 հավաքումները՝ 2.0.42-ից նոր տարբերակի։ Եթե անհապաղ շտկումը հնարավոր չէ, ժամանակավորապես անջատեք HTTP/2 աջակցությունը՝ խմբագրելով կոնֆիգուրացիոն ֆայլ, օրինակ՝ httpd.conf, և ակտիվ պրոտոկոլները սահմանափակելով HTTP/1.1-ով՝ հեռացնելով h2 և h2c հղումները. օրինակում սահմանվում է Protocols http/1.1։ Wiz-ի հաճախորդները կարող են օգտագործել Wiz Threat Center-ում նախապես պատրաստված հարցումը և խորհրդատվությունը՝ իրենց միջավայրում խոցելի նմուշներ փնտրելու համար։ Աղբյուրը նաև հղում է անում Apache HTTP Server-ի թողարկման նշումներին։

Աղբյուրներ՝ wiz.io