Mars Finance relata que o software de servidor aberto Apache HTTP Server apresenta uma vulnerabilidade de segurança grave. Atacantes com acesso ao serviço afetado podem, por meio de requisições maliciosas, corromper a memória do servidor e executar código com as permissões do processo do serviço web. A vulnerabilidade reside no módulo HTTP/2, permitindo que atacantes desencadeiem um defeito de sincronização concorrente sem autenticação, causando danos à memória heap. Após exploração bem-sucedida, é possível executar código com as permissões do processo do Apache e acessar dados que o processo pode ler. Os serviços afetados incluem o Apache HTTP Server 2.4.55 a 2.4.70, bem como o mod_h2 2.0.8 a 2.0.42 obtidos separadamente do GitHub. A Red Hat afirma que o risco afeta servidores com HTTP/2 ativado por meio da instrução Protocols, incluindo H2 para conexões criptografadas e H2C para conexões em texto claro. Os administradores devem verificar tanto a configuração global quanto as configurações de cada host virtual; se o site utilizar CDN ou proxy reverso na frente, também é necessário verificar se o servidor Apache de origem pode ser acessado diretamente via HTTP/2. O Apache lançou o HTTP Server 2.4.71 em 11 de novembro de 2026 e recomenda que todos os sites que utilizam o Apache atualizem imediatamente; caso a atualização não seja possível temporariamente, desative o HTTP/2. A falha está localizada na função assign_headers() do mod_http2. O HTTP/2 permite processar múltiplas requisições simultaneamente na mesma conexão, e o código afetado apresenta um defeito de sincronização ao lidar com recursos compartilhados, podendo causar corrupção da memória heap. A vulnerabilidade foi descoberta pelo projeto de varredura aberta Anthropic OSS Scanner e pela equipe de pesquisa de vulnerabilidades do Google Cloud; a Anthropic relatou a falha à Apache Foundation em 26 de outubro, e a equipe do Google Cloud relatou a mesma vulnerabilidade em 3 de novembro.
Apache HTTP Server 2.4.55-2.4.70 encontrado com vulnerabilidade crítica de execução remota de código HTTP/2
MarsBitCompartilhar
Resumo
Uma nova notícia de vulnerabilidade surgiu em relação ao servidor HTTP Apache, revelando uma falha crítica de execução remota de código no HTTP/2. A brecha de segurança afeta as versões 2.4.55 a 2.4.70 e o mod_h2 2.0.8 a 2.0.42. Atacantes podem explorar a falha enviando solicitações manipuladas para corromper a memória do servidor e executar código arbitrário. O Apache lançou a versão 2.4.71 em 11 de novembro de 2026 para corrigir o problema. Administradores de sistema são encorajados a atualizar imediatamente ou desativar o HTTP/2 como solução temporária.
Fonte:Mostrar original
Aviso legal: as informações nesta página podem ter sido obtidas de terceiros e não refletem necessariamente os pontos de vista ou opiniões da KuCoin. Este conteúdo é fornecido apenas para fins informativos gerais, sem qualquer representação ou garantia de qualquer tipo, nem deve ser interpretado como aconselhamento financeiro ou de investimento. A KuCoin não é responsável por quaisquer erros ou omissões, ou por quaisquer resultados do uso destas informações.
Os investimentos em ativos digitais podem ser arriscados. Avalie cuidadosamente os riscos de um produto e a sua tolerância ao risco com base nas suas próprias circunstâncias financeiras. Para mais informações, consulte nossos termos de uso e divulgação de risco.