Berita Huoxing Finance melaporkan bahwa perangkat lunak server open-source Apache HTTP Server mengalami kerentanan keamanan serius. Penyerang yang dapat mengakses layanan yang terdampak dapat merusak memori server dengan membuat permintaan khusus, sehingga dapat menjalankan kode dengan izin proses layanan web. Kerentanan ini berada di modul HTTP/2, di mana penyerang dapat memicu cacat sinkronisasi konkuren tanpa otentikasi, menyebabkan kerusakan memori heap. Setelah dieksploitasi berhasil, kode dapat dijalankan dengan izin proses kerja Apache, serta mengakses data yang dapat dibaca oleh proses tersebut. Rentang yang terdampak mencakup Apache HTTP Server 2.4.55 hingga 2.4.70, serta mod_h2 versi 2.0.8 hingga 2.0.42 yang digunakan secara terpisah dari GitHub. Red Hat menyatakan bahwa risiko ini terkait dengan server yang mengaktifkan HTTP/2 melalui instruksi Protocols, termasuk H2 untuk koneksi terenkripsi dan H2C untuk koneksi plaintext. Administrator perlu memeriksa konfigurasi global dan konfigurasi masing-masing virtual host; jika situs web menggunakan CDN atau proxy terbalik di depan, perlu juga diperiksa apakah server Apache asal dapat diakses langsung melalui HTTP/2. Apache telah merilis HTTP Server 2.4.71 pada 11 November 2026, dan disarankan agar situs yang menggunakan Apache segera memperbarui; jika pembaruan tidak segera memungkinkan, HTTP/2 dapat dinonaktifkan sementara. Masalah ini terletak pada fungsi assign_headers() di mod_http2. HTTP/2 memungkinkan pemrosesan beberapa permintaan secara konkuren dalam satu koneksi yang sama, dan kode yang terdampak memiliki cacat sinkronisasi saat menangani sumber daya bersama, yang dapat menyebabkan kerusakan memori heap. Kerentanan ini ditemukan oleh proyek open-source Anthropic OSS Scanner dan tim penelitian kerentanan Google Cloud; Anthropic melaporkannya kepada Apache Foundation pada 26 Oktober, sementara tim Google Cloud melaporkan kerentanan yang sama pada 3 November.
Apache HTTP Server 2.4.55-2.4.70 ditemukan dengan kerentanan Eksekusi Kode Jarak Jauh HTTP/2 Kritis
MarsBitBagikan
Ringkasan
Berita kerentanan baru telah muncul terkait Apache HTTP Server, mengungkap kelemahan eksekusi kode jarak jauh HTTP/2 yang kritis. Pelanggaran keamanan ini memengaruhi versi 2.4.55 hingga 2.4.70 dan mod_h2 2.0.8 hingga 2.0.42. Penyerang dapat memanfaatkan kelemahan ini dengan mengirim permintaan yang dirancang khusus untuk merusak memori server dan menjalankan kode sewenang-wenang. Apache merilis versi 2.4.71 pada 11 November 2026 untuk memperbaiki masalah ini. Administrator sistem diminta segera memperbarui atau menonaktifkan HTTP/2 sebagai solusi sementara.
Sumber:Tampilkan versi asli
Penafian: Informasi pada halaman ini mungkin telah diperoleh dari pihak ketiga dan tidak mencerminkan pandangan atau opini KuCoin. Konten ini disediakan hanya untuk tujuan informasi umum, tanpa representasi atau jaminan apa pun, dan tidak dapat ditafsirkan sebagai saran keuangan atau investasi. KuCoin tidak bertanggung jawab terhadap segala kesalahan atau kelalaian, atau hasil apa pun yang keluar dari penggunaan informasi ini.
Berinvestasi di aset digital dapat berisiko. Harap mengevaluasi risiko produk dan toleransi risiko Anda secara cermat berdasarkan situasi keuangan Anda sendiri. Untuk informasi lebih lanjut, silakan lihat Ketentuan Penggunaan dan Pengungkapan Risiko.