Mars Finans haberine göre, açık kaynak sunucu yazılımı Apache HTTP Server'da ciddi bir güvenlik açığı ortaya çıktı. Saldırganlar, etkilenen hizmete erişim sağladığında, sunucu belleğini bozacak şekilde özel istekler oluşturarak Web hizmeti işlemi yetkileriyle kod çalıştırabilir. Bu açık, HTTP/2 modülünde yer alıyor ve saldırganlar kimlik doğrulama gerektirmeden eşzamanlı senkronizasyon hatasını tetikleyerek yığın bellek hasarına neden olabilir; başarılı bir istismar durumunda, Apache çalışma işlemi yetkileriyle kod çalıştırılabilir ve bu işlem tarafından okunabilen verilere erişilebilir. Etkilenen sürümler, Apache HTTP Server 2.4.55 ile 2.4.70 arasında ve GitHub'dan ayrı olarak kullanılan mod_h2 2.0.8 ile 2.0.42 arasında. Red Hat, riskin Protocols komutuyla etkinleştirilmiş HTTP/2 sunucularını kapsadığını belirtti; bu, şifreli bağlantılar için H2 ve düz metin bağlantıları için H2C'yi içerir. Yöneticiler, hem genel yapılandırmayı hem de her sanal konak yapılandırmasını kontrol etmelidir; web sitesinin ön ucunda CDN veya ters proxy kullanılıyorsa, Apache kaynak sunucusunun HTTP/2 üzerinden doğrudan erişilebilir olup olmadığı da kontrol edilmelidir. Apache, 11 Kasım 2026 tarihinde HTTP Server 2.4.71 sürümünü yayınladı; Apache kullanan sitelerin hemen yükseltme yapması önerilir; geçici olarak yükseltme yapılamıyorsa, HTTP/2 geçici olarak kapatılabilir. Sorun, mod_http2'nin assign_headers() fonksiyonunda yer alıyor. HTTP/2, aynı bağlantıda birden fazla isteği eşzamanlı işlemeye izin verir; etkilenen kod, paylaşılan kaynakları işlerken senkronizasyon hatası gösterir ve bu da yığın bellek hasarına neden olabilir. Bu güvenlik açığı, Anthropic OSS Scanner açık kaynak projesi tarayıcı planı ve Google Cloud güvenlik araştırma ekibi tarafından keşfedildi; Anthropic, 26 Ekim'de Apache Vakfı'na, Google Cloud ekibi ise 3 Kasım'da aynı açığı bildirdi.
Apache HTTP Server 2.4.55-2.4.70'da Kritik HTTP/2 Uzaktan Kod Çalıştırma Zafiyeti Bulundu
MarsBitPaylaş
Özet
Apache HTTP Sunucusu ile ilgili yeni bir zafiyet haberi ortaya çıktı; kritik bir HTTP/2 uzaktan kod yürütme açıklaması ortaya çıktı. Bu güvenlik ihlali, 2.4.55 ile 2.4.70 arasındaki sürümleri ve mod_h2 2.0.8 ile 2.0.42 arasındaki sürümleri etkiliyor. Saldırganlar, sunucu belleğini bozarak rastgele kod çalıştırmak için özel olarak hazırlanmış istekler gönderebilir. Apache, bu sorunu çözmek için 11 Kasım 2026 tarihinde 2.4.71 sürümünü yayınladı. Sistem yöneticilerine hemen yükseltme yapması veya geçici bir çözüm olarak HTTP/2’yi devre dışı bırakması öneriliyor.
Kaynak:Orijinalini göster
Yasal Uyarı: Bu sayfadaki bilgiler üçüncü şahıslardan alınmış olabilir ve KuCoin'in görüşlerini veya fikirlerini yansıtmayabilir. Bu içerik, herhangi bir beyan veya garanti olmaksızın yalnızca genel bilgilendirme amacıyla sağlanmıştır ve finansal veya yatırım tavsiyesi olarak yorumlanamaz. KuCoin, herhangi bir hata veya eksiklikten veya bu bilgilerin kullanımından kaynaklanan sonuçtan sorumlu değildir.
Dijital varlıklara yapılan yatırımlar riskli olabilir. Lütfen bir ürünün risklerini ve risk toleransınızı kendi finansal koşullarınıza göre dikkatlice değerlendirin. Daha fazla bilgi için lütfen Kullanım Koşullarımıza ve Risk Açıklamamıza bakınız.