Марс Фінанс повідомляє, що у відкритому серверному програмному забезпеченні Apache HTTP Server виявлено серйозну безпекову вразливість. Зловмисник, що має доступ до вразливого сервісу, може шляхом створення спеціальних запитів пошкодити пам’ять сервера і виконати код з правами процесу веб-сервісу. Ця вразливість знаходиться у модулі HTTP/2; зловмисник може спровокувати дефект синхронізації без необхідності автентифікації, що призводить до пошкодження купи пам’яті. У разі успішного використання вразливості може бути виконано код з правами робочого процесу Apache та отримано доступ до даних, які може читати цей процес. Під впливом знаходяться Apache HTTP Server 2.4.55–2.4.70, а також mod_h2 2.0.8–2.0.42, використовувані окремо з GitHub. Компанія Red Hat зазначає, що ризик стосується серверів, де HTTP/2 увімкнено за допомогою директиви Protocols, включаючи H2 для зашифрованих з’єднань та H2C для незашифрованих. Адміністраторам необхідно перевірити як глобальну конфігурацію, так і конфігурації кожного віртуального хоста; якщо веб-сайт використовує CDN або зворотний проксі, слід також перевірити, чи можна безпосередньо отримати доступ до Apache-джерела через HTTP/2. Apache опублікував HTTP Server 2.4.71 11 листопада 2026 року і рекомендує сайтам, що використовують Apache, негайно оновитися; якщо оновлення тимчасово неможливе, можна тимчасово вимкнути HTTP/2. Проблема знаходиться у функції assign_headers() модуля mod_http2. HTTP/2 дозволяє обробляти кілька запитів одночасно в одному з’єднанні; код, що страждає, містить дефект синхронізації при обробці спільних ресурсів, що може призвести до пошкодження купи пам’яті. Цю вразливість виявили за допомогою проекту Anthropic OSS Scanner та команди дослідження вразливостей Google Cloud; Anthropic повідомив про неї Фонду Apache 26 жовтня, а команда Google Cloud — 3 листопада.
Apache HTTP Server 2.4.55-2.4.70 знайдено з критичною вразливістю віддаленого виконання коду HTTP/2
MarsBitПоділитися
Короткий зміст
З’явилася нова інформація про вразливість у Apache HTTP Server, яка виявляє критичну вразливість виконання віддаленого коду через HTTP/2. Ця порушення безпеки впливає на версії 2.4.55–2.4.70 та mod_h2 2.0.8–2.0.42. Зловмисники можуть експлуатувати цю вразливість, надсилаючи спеціально створені запити для пошкодження пам’яті сервера та виконання довільного коду. Apache випустила версію 2.4.71 11 листопада 2026 року для виправлення цієї проблеми. Адміністраторам систем рекомендується негайно оновити систему або тимчасово вимкнути HTTP/2.
Джерело:Показати оригінал
Відмова від відповідальності: Інформація на цій сторінці може бути отримана від третіх осіб і не обов'язково відображає погляди або думки KuCoin. Цей контент надається лише для загального інформування, без будь-яких запевнень або гарантій, а також не може розглядатися як фінансова або інвестиційна порада. KuCoin не несе відповідальності за будь-які помилки або упущення, а також за будь-які результати, отримані в результаті використання цієї інформації.
Інвестиції в цифрові активи можуть бути ризикованими. Будь ласка, ретельно оцініть ризики продукту та свою толерантність до ризику, виходячи з ваших власних фінансових обставин. Для отримання додаткової інформації, будь ласка, зверніться до наших Умов використання та Розкриття інформації про ризики.