Mars Finance melaporkan, perisian pelayan sumber terbuka Apache HTTP Server mengalami kelemahan keselamatan serius. Penyerang yang dapat mengakses perkhidmatan yang terjejas boleh merosakkan memori pelayan melalui permintaan yang dirangka, seterusnya menjalankan kod dengan kebenaran proses perkhidmatan web. Kelemahan ini terletak di modul HTTP/2, di mana penyerang boleh memicu kecacatan penyegerakan serentak tanpa pengesahan identiti, menyebabkan kerosakan memori heap. Jika dieksploitasi berjaya, kod boleh dijalankan dengan kebenaran proses kerja Apache dan mengakses data yang boleh dibaca oleh proses tersebut. Lingkungan yang terjejas termasuk Apache HTTP Server 2.4.55 hingga 2.4.70, serta mod_h2 2.0.8 hingga 2.0.42 yang digunakan secara berasingan daripada GitHub. Red Hat menyatakan bahawa risiko ini melibatkan pelayan yang mengaktifkan HTTP/2 melalui arahan Protocols, termasuk H2 untuk sambungan tersulit dan H2C untuk sambungan tanpa sulit. Pentadbir perlu memeriksa konfigurasi global dan konfigurasi setiap hos maya; jika laman web menggunakan CDN atau proxy songsang di hadapan, perlu juga disemak sama ada pelayan Apache asal boleh diakses secara langsung melalui HTTP/2. Apache telah menerbitkan HTTP Server 2.4.71 pada 11 November 2026, dan disarankan agar laman web yang menggunakan Apache segera mengemas kini. Sementara itu, jika pengemas kini tidak dapat dilakukan, HTTP/2 boleh dimatikan sementara. Kelemahan ini terletak di fungsi assign_headers() dalam mod_http2. HTTP/2 membenarkan pemprosesan berbilang permintaan secara serentak dalam satu sambungan, dan kod yang terjejas mempunyai kecacatan penyegerakan semasa mengendalikan sumber bersama, yang boleh menyebabkan kerosakan memori heap. Kelemahan ini ditemui oleh rancangan pengimbasan projek sumber terbuka Anthropic OSS Scanner dan pasukan penyelidikan kelemahan Google Cloud. Anthropic melaporkan kelemahan ini kepada Apache Foundation pada 26 Oktober, manakala pasukan Google Cloud melaporkan kelemahan yang sama pada 3 November.
Apache HTTP Server 2.4.55-2.4.70 ditemui dengan kerentanan Eksekusi Kod Jauh HTTP/2 Kritikal
MarsBitKongsi
Ringkasan
Berita kerentanan baharu telah muncul berkenaan Apache HTTP Server, yang mengungkap kelemahan kritikal eksekusi kod jauh HTTP/2. Pelanggaran keselamatan ini memberi kesan kepada versi 2.4.55 hingga 2.4.70 dan mod_h2 2.0.8 hingga 2.0.42. Penyerang boleh memanfaatkan kelemahan ini dengan menghantar permintaan yang dirangka untuk merosakkan memori pelayan dan menjalankan kod sewenang-wenangnya. Apache telah merilis versi 2.4.71 pada 11 November 2026 untuk memperbaiki isu ini. Pentadbir sistem digalakkan untuk meningkatkan segera atau mematikan HTTP/2 sebagai penyelesaian sementara.
Sumber:Tunjukkan artikel asal
Penafian: Maklumat yang terdapat pada halaman ini mungkin telah diperoleh daripada pihak ketiga dan tidak semestinya menggambarkan pandangan atau pendapat KuCoin. Kandungan ini adalah disediakan bagi tujuan maklumat umum sahaja, tanpa sebarang perwakilan atau waranti dalam apa jua bentuk, dan juga tidak boleh ditafsirkan sebagai nasihat kewangan atau pelaburan. KuCoin tidak akan bertanggungjawab untuk sebarang kesilapan atau pengabaian, atau untuk sebarang akibat yang terhasil daripada penggunaan maklumat ini.
Pelaburan dalam aset digital boleh membawa risiko. Sila menilai risiko produk dan toleransi risiko anda dengan teliti berdasarkan keadaan kewangan anda sendiri. Untuk maklumat lanjut, sila rujuk kepada Terma Penggunaan dan Pendedahan Risiko kami.