Apache HTTP Server-ის mod_http2-ში კრიტიკულმა რასის მდგომარეობამ RCE შეიძლება გამოიწვიოს

Apache HTTP Server-ის HTTP/2 მოდულში (mod_http2) აღმოჩენილია კრიტიკული სინქრონიზაციის დაუცველობა CVE-2026-119618. ხარვეზი assign_headers() ფუნქციაში არსებული რასის მდგომარეობაა, რომელიც დისტანციურ, აუთენტიფიცირებულ თავდამსხმელს heap მეხსიერების დაზიანებისა და თვითნებური კოდის შესრულების საშუალებას აძლევს. ბლოგის გამოქვეყნების დროისთვის exploit ხელმისაწვდომი არ არის და რეალურ პირობებში მისი გამოყენების შესახებ ცნობები არ არსებობს.

აღმოჩენა და ტექნიკური დეტალები

პრობლემა დამოუკიდებლად აღმოაჩინეს Anthropic-მა და Google Cloud-ის Vulnerability Research Team-მა. ის mod_http2-ის assign_headers()-ში არსებობს, სადაც არასწორი სინქრონიზაცია საერთო რესურსებზე ერთდროული ნაკადების მუშაობისას შეიძლება გამოიწვიოს heap-ის დაზიანება. ეს მეხსიერების დაზიანება შეიძლება გამოყენებულ იქნას ჰოსტინგ სერვერზე RCE-სთვის, რაც არაუფლებამოსილ პირებს ვებ-სერვერის პროცესის უფლებებით თვითნებური ბრძანებების შესრულების საშუალებას აძლევს.

რისკი ღრუბლოვანი გარემოებისთვის

ღრუბლოვან გარემოში კომპრომიტირებული Apache-ის ინსტანსი, რომელზეც კონტეინერიზებული ან ვირტუალიზებული დატვირთვები მუშაობს, შეიძლება გახდეს გვერდითი გადაადგილების შესასვლელი წერტილი და პოტენციურად გამოაჩინოს მეზობელი მიკროსერვისები ან ღრუბლის მეტამონაცემების endpoint-ები. Wiz-ის მონაცემებით, ღრუბლოვანი გარემოების 64%-ში არის CVE-2026-119618-ის მიმართ დაუცველი რესურსები, ხოლო 51%-ში საჯაროდ ხელმისაწვდომი ინსტანსებია. წყარო აღნიშნავს, რომ ეს კონფიგურაციას არ ითვალისწინებს.

დაზარალებული ვერსიები

დაუცველობა ეხება Apache HTTP Server-ზე HTTP/2 შესაძლებლობების გამოყენებით გაშვებულ დანერგვებს. დაზარალებული ვერსიებია Apache HTTP Server 2.4.55-დან 2.4.70-მდე, ხოლო 2.4.71 და უფრო ახალი ვერსიები შესწორებულადაა მითითებული. GitHub-ის mod_h2 მოდულისთვის დაზარალებულია 2.0.8-დან 2.0.42-მდე ვერსიები, ხოლო 2.0.24 და უფრო ახალი ვერსიები შესწორებულადაა მითითებული.

რეკომენდებული ქმედებები

უსაფრთხოების გუნდებმა უნდა განაახლონ Apache HTTP Server 2.4.71 ან უფრო ახალ ვერსიამდე, ხოლო GitHub-იდან დამოუკიდებელი mod_h2 build-ები 2.0.42-ზე უფრო ახალ ვერსიამდე. თუ დაუყოვნებლივ პატჩინგი შეუძლებელია, დროებით გამორთეთ HTTP/2-ის მხარდაჭერა: შეასწორეთ კონფიგურაციის ფაილი, მაგალითად httpd.conf, და შეზღუდეთ აქტიური პროტოკოლები HTTP/1.1-მდე, ამოიღეთ h2-ისა და h2c-ის მითითებები; მაგალითში მითითებულია Protocols http/1.1. Wiz-ის მომხმარებლებს შეუძლიათ გამოიყენონ წინასწარ მომზადებული მოთხოვნა და გაფრთხილება Wiz Threat Center-ში, რათა მოძებნონ დაუცველი ინსტანსები თავიანთ გარემოში. წყარო ასევე მიუთითებს Apache HTTP Server-ის გამოშვების შენიშვნებზე.

წყაროები: wiz.io