Apache HTTP Server HTTP/2-vel: kritikus mod_http2-hiba távoli kódfuttatást tesz lehetővé

Mi történt

2026. november 11-én az Apache HTTP Server projekt közzétette a CVE-2026-119618 sebezhetőséget, és kiadta a 2.4.71-es verziót. A projekt a hibát kritikusnak minősíti. A HTTP/2 modul, a mod_http2 assign_headers() függvényében található. A megosztott erőforrásokat párhuzamos kérések esetén nem szinkronizálják megfelelően. A projekt tanácsadása szerint ez heap-sérülést okoz, amely távoli kódfuttatáshoz vezethet.

A Red Hat a hibát a CVSS-skálán 9,8 pontra értékelte a 10-ből. Szerint a kiszolgálót elérő támadónak nincs szüksége hitelesítésre, és átveheti a teljes kiszolgálófolyamat felett az irányítást. A Red Hat azt is közli, hogy nyilvános kutatás bizonyított megbízható kihasználási módot a mod_http2-vel engedélyezett alapértelmezett konfiguráció ellen, ezt a kutatást azonban nem nevezi meg. A Wiz biztonsági cég később azt közölte, hogy nem állt rendelkezésre kihasználási kód, és támadásokról sem érkezett jelentés. A sebezhetőség nincs benne a CISA kihasznált sebezhetőségek katalógusában, és az általunk ellenőrzött forrásokban sem szerepel támadás.

A 2.4.71-es verzió két további hibát is javít:

• CVE-2026-106023 (fontos besorolású): összeomlás a mod_md modulban.
• CVE-2026-109163 (alacsony besorolású): egybájtos veremátírás a mod_vhost_alias modulban.

Kiket érint

• Apache HTTP Server 2.4.55–2.4.70, de csak akkor, ha a HTTP/2 engedélyezve van. A HTTP/2 csak ott fut, ahol a Protocols direktíva tartalmazza a h2 (HTTP/2 TLS felett) vagy a h2c (HTTP/2 sima TCP felett) értéket. Ez a direktíva a teljes kiszolgálóra vagy egyetlen virtuális gazdagépre is beállítható.
• Azok a kiszolgálók, amelyek a korábbi, CVE-2026-23918 azonosítójú HTTP/2-hibára a 2.4.67-es verziót telepítették, továbbra is érintettek. Ez a 2.4.67-től a 2.4.70-ig terjedő összes kiadásra vonatkozik.
• A modul önálló buildjei (a GitHubról származó mod_h2), a 2.0.8–2.0.42 verziók. Javított mod_h2 kiadás még nincs, a projekt tárolóját pedig archiválták.

Ezek a rendszerek nem érintettek:

• A 2.4.55 előtti Apache-verziók.
• Azok a kiszolgálók, amelyeken egyetlen Protocols direktívában sincs engedélyezve a h2 vagy a h2c.
• A Red Hat Enterprise Linux 6, 7 és 8, mivel nem tartalmazzák a sebezhető kódot.

A disztribúciós csomagok állapota 2026. november 12-i állapot szerint:

• RHEL 9: javítva a mod_http2-2.0.26-7.el9_9.1 csomagban (RHSA-2026:98981).
• RHEL 10: javítva a mod_http2-2.0.29-5.el10_3.1 csomagban (RHSA-2026:98978).
• RHEL EUS és SAP kiadások: a javítások külön tanácsadásokban érhetők el. A Red Hat a RHEL 9-en és 10-en a hibát Kritikus helyett Fontos besorolásúnak értékeli, mert az ő buildjeik sokkal nehezebbé teszik a támadást.
• Red Hat JBoss Core Services és Red Hat Hardened Images: érintettként szerepelnek, javítás még nincs.
• Debian: az unstable (sid) ágban javítva az apache2 2.4.71-1 csomaggal. A Debian nyilvántartása szerint a bookworm, trixie és forky ágak sebezhetők, javított csomag még nincs.
• Amazon Linux 2, Amazon Linux 2023 és Amazon Linux 2027 Preview: a javítás folyamatban van.
• Ubuntu: még nem közöltek állapotot.

A tárhelykezelő panelek és más termékek, amelyek saját Apache buildet szállítanak, akkor érintettek, ha buildjük ebbe a verziótartományba esik és a HTTP/2 engedélyezve van. Az állapotukról a szállító tanácsadását ellenőrizze.

Mit tegyen most

1. Állapítsa meg az Apache verzióját az apachectl -v vagy httpd -v paranccsal. Ezután ellenőrizze, hogy a HTTP/2 engedélyezve van-e (lásd a következő részt).
2. Frissítsen.
   • Saját buildű vagy upstream Apache: frissítsen a 2.4.71-es verzióra.
   • RHEL 9 és 10: telepítse a frissítéseket, például a dnf update mod_http2 paranccsal.
   • Más disztribúciók: telepítse a javított apache2 vagy httpd csomagot, amint a disztribúció közzéteszi. Ellenőrizze az alább hivatkozott szállítói tanácsadásokat.
3. Indítsa újra teljesen az Apache-ot, például a systemctl restart httpd vagy a systemctl restart apache2 paranccsal. A teljes újraindítás biztosítja, hogy a frissített modul töltődjön be. Ezután ellenőrizze, hogy a webhelyei válaszolnak-e.
4. Ha még nem tud frissíteni: az Apache tanácsadása nem kínál megkerülő megoldást. A Wiz azt javasolja, hogy távolítsa el a h2 és h2c értékeket minden Protocols direktívából, és hagyja meg a Protocols http/1.1 beállítást. Ellenőrizze a kiszolgálószintű beállítást és minden virtuális gazdagépet. Ezután tesztelje a konfigurációt az apachectl configtest paranccsal, és indítsa újra az Apache-ot. A kliensek HTTP/1.1-re fognak visszaváltani. Ez az eddigi egyetlen védelem azoknak a kiszolgálóknak is, amelyek az önálló mod_h2 buildet használják.
5. Ellenőrizze a többi kiszolgálóját is, beleértve a fordított proxykat és az ügyfeleinek üzemeltetett szervereket, ha Apache 2.4.55 vagy újabb verziót futtatnak HTTP/2 engedélyezésével.

Hogyan ellenőrizze, hogy érintett-e

• Verzió: futtassa az apachectl -v (vagy httpd -v) parancsot. A 2.4.55–2.4.70 verziók érintettek. Disztribúciós csomagok esetén hasonlítsa össze a fenti javított csomagverziókkal, mert a disztribúciók saját verziószámokat használnak.
• Betöltött modul: az apachectl -M 2>/dev/null | grep http2 parancs megmutatja, be van-e töltve a mod_http2.
• HTTP/2 engedélyezése: futtassa a grep -RniE '^\s*Protocols' /etc/httpd /etc/apache2 2>/dev/null parancsot, és keressen h2 vagy h2c értékeket. Vegye figyelembe a konfigurációs fájlokat tartalmazó egyéb könyvtárakat is.
• Kívülről: a curl -sI --http2 https://example.com -o /dev/null -w '%{http_version}\n' parancs 2-t ír ki, ha a webhely HTTP/2-n válaszol.

Ha egyik kiszolgálója sem tartalmaz h2 vagy h2c értéket a Protocols direktívában, ez a hiba nem érinti őket. Ennek ellenére a rendszeres karbantartás során telepítse a 2.4.71-es verziót vagy disztribúciója frissítését, mert az a másik két hibát is javítja.

Források

• https://nvd.nist.gov/vuln/detail/CVE-2026-119618
• https://httpd.apache.org/security/vulnerabilities_24.html