Apache - CVE-2026-119618
Date de publication :
Il s’agit d’une vulnérabilité dans le module mod_http2 d’Apache HTTP Server.
Apache HTTP Server est un serveur web open source développé par l’Apache Software Foundation. Il diffuse des pages et des applications web en HTTP et HTTPS. Sa configuration repose sur un système de modules.
Elle se situe dans la fonction assign_headers(). Une ressource partagée est utilisée en parallèle sans synchronisation correcte. Il s’agit d’une condition de concurrence. Deux traitements accèdent alors à la même zone mémoire. Cela provoque une corruption de tas. D’après des analyses tierces, le serveur doit avoir HTTP/2 activé et l’attaque ne demande pas d’authentification. Le module mod_h2 distribué sur GitHub est aussi concerné.
Elle permet une exécution de code à distance sur le serveur.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
Exécution de code arbitraire (à distance)
Exploitation
CWE-362 : Concurrent Execution using Shared Resource with Improper Synchronization
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Élevée
• Privilèges nécessaires pour réaliser l'attaque : Aucun
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : En attente d’information
Preuve de concept
Une preuve de concept est disponible en sources ouvertes.
Systèmes ou composants affectés
Apache HTTP Server versions 2.4.55 jusqu’à 2.4.70