Согласно сообщению Huoxing Caijing, в открытой серверной программе Apache HTTP Server обнаружена критическая уязвимость безопасности. Злоумышленник, имеющий доступ к затронутому сервису, может отправить специально сформированный запрос, чтобы повредить память сервера и выполнить код с правами процесса веб-сервиса. Уязвимость находится в модуле HTTP/2; злоумышленник может вызвать дефект синхронизации при параллельной обработке без необходимости аутентификации, что приводит к повреждению кучи памяти. При успешном эксплуатации возможно выполнение кода с правами рабочего процесса Apache и доступ к данным, которые может считывать этот процесс. Под угрозой находятся Apache HTTP Server версий 2.4.55–2.4.70, а также отдельно используемая из GitHub версия mod_h2 2.0.8–2.0.42. Компания Red Hat сообщает, что риск затрагивает серверы, на которых HTTP/2 включен с помощью директивы Protocols, включая H2 для зашифрованных соединений и H2C для незашифрованных соединений. Администраторам необходимо проверить как глобальную конфигурацию, так и конфигурации каждого виртуального хоста; если веб-сайт использует CDN или обратный прокси, следует также проверить, можно ли напрямую получить доступ к Apache-источнику через HTTP/2. Apache выпустил HTTP Server 2.4.71 11 ноября 2026 года; рекомендуется немедленно обновить все сайты, использующие Apache; если обновление невозможно временно отключите HTTP/2. Проблема находится в функции assign_headers() модуля mod_http2. HTTP/2 позволяет обрабатывать несколько запросов параллельно в одном соединении; в связанном коде существует дефект синхронизации при обработке общих ресурсов, что может привести к повреждению кучи памяти. Уязвимость была обнаружена в рамках проекта по сканированию открытого исходного кода Anthropic OSS Scanner и командой исследований уязвимостей Google Cloud; Anthropic сообщила о ней Фонду Apache 26 октября, а команда Google Cloud — 3 ноября.
Apache HTTP Server 2.4.55-2.4.70 обнаружен с критической уязвимостью удаленного выполнения кода через HTTP/2
MarsBitПоделиться
Сводка
Появилась новость о новой уязвимости в Apache HTTP Server, раскрывающей критическую уязвимость удаленного выполнения кода через HTTP/2. Уязвимость затрагивает версии 2.4.55–2.4.70 и mod_h2 2.0.8–2.0.42. Злоумышленники могут эксплуатировать уязвимость, отправляя специально созданные запросы для повреждения памяти сервера и выполнения произвольного кода. Apache выпустила версию 2.4.71 11 ноября 2026 года для устранения проблемы. Администраторам систем настоятельно рекомендуется немедленно обновиться или временно отключить HTTP/2.
Источник:Показать оригинал
Отказ от ответственности: Информация на этой странице может быть получена от третьих лиц и не обязательно отражает взгляды или мнения KuCoin. Данный контент предоставляется исключительно в общих информационных целях, без каких-либо заверений или гарантий, а также не может быть истолкован как финансовый или инвестиционный совет. KuCoin не несет ответственности за ошибки или упущения, а также за любые результаты, полученные в результате использования этой информации.
Инвестиции в цифровые активы могут быть рискованными. Пожалуйста, тщательно оценивайте риски, связанные с продуктом, и свою устойчивость к риску, исходя из собственных финансовых обстоятельств. Для получения более подробной информации, пожалуйста, ознакомьтесь с нашими Условиями использования и Уведомлением о риске.