Apache обнаружил серьезную уязвимость, служба HTTP/2 может подвергнуться удаленному выполнению кода

Серьезная уязвимость безопасности обнаружена в программном обеспечении с открытым исходным кодом Apache HTTP Server. Злоумышленники, имея доступ к затронутым сервисам, могут разрушить память сервера, сформировав запрос, и таким образом выполнить код с правами процесса веб-сервиса. Уязвимость находится в модуле HTTP/2, злоумышленники могут вызвать параллельный синхронный дефект и вызвать повреждение кучи памяти без аутентификации; после успешного использования они могут выполнять код с правами рабочего процесса Apache и получать доступ к данным, которые может читать этот процесс.

Затронутые версии включают Apache HTTP Server от 2.4.55 до 2.4.70, а также mod_h2 от 2.0.8 до 2.0.42, используемый отдельно из GitHub. Компания Red Hat заявила, что риск касается серверов, на которых включен HTTP/2 с помощью директивы Protocols, включая H2 для зашифрованных соединений и H2C для нешифрованных соединений. Администраторы должны проверить как глобальные настройки, так и настройки виртуальных хостов; если фронтенд сайта использует CDN или обратный прокси, также необходимо проверить, доступен ли исходный сервер Apache напрямую через HTTP/2.

Apache выпустил HTTP Server 2.4.71 11 ноября 2026 года и рекомендует сайтам, использующим Apache, немедленно обновиться; если обновление временно невозможно, можно временно отключить HTTP/2. Проблема находится в функции assignheaders() модуля modhttp2. HTTP/2 позволяет одновременно обрабатывать несколько запросов в одном соединении, затронутый код имеет синхронный дефект при обработке общих ресурсов, что может привести к повреждению кучи памяти. Уязвимость была обнаружена в рамках проекта сканирования открытого исходного кода Anthropic OSS Scanner и исследовательской группы по уязвимостям Google Cloud; Anthropic сообщила о ней Фонду Apache 26 октября, а команда Google Cloud сообщила о той же уязвимости 3 ноября.