CVE-2026-23918 — Apache mod_http2 Double Free

Betroffen: Apache HTTP Server 2.4.66 mit mod_http2 + Event MPM
Behoben in: Apache 2.4.67 (mod_h2 v2.0.37)
CVSS 3.1: 8.8 HOCH — Nicht authentifizierte Remote-Codeausführung möglich
CWE: CWE-415 (Doppelte Freigabe)

Was ist die Sicherheitslücke

mod_http2 in Apache 2.4.66 hat einen Double-Free-Bug innerhalb von h2_mplx.c:m_stream_cleanup(). Das Problem tritt auf, wenn ein Client einen HEADERS-Frame gefolgt von einem RST_STREAM auf demselben Stream sendet. Wenn das Timing stimmt, wird der Stream zweimal in das m->spurge-Array geschoben. Wenn der mplx zerstört wird, wird der APR-Pool zweimal freigegeben, was den Heap beschädigt und einen SIGABRT oder SIGSEGV auslöst.

Apache hat dies in mod_h2 v2.0.27 durch die Einführung von add_for_purge() behoben, einer einfachen Deduplizierungsprüfung, die verhindert, dass derselbe Stream zweimal hinzugefügt wird.

// Anfällig (< v2.0.37)
APR_ARRAY_PUSH(m->spurge, h2_stream *) = stream;  // kann zweimal passieren

// Behoben (v2.0.37+)
static int add_for_purge(h2_mplx *m, h2_stream *stream) {
    for (int i = 0; i < m->spurge->nelts; ++i)
        if (APR_ARRAY_IDX(m->spurge, i, h2_stream*) == stream)
            return FALSE;
    APR_ARRAY_PUSH(m->spurge, h2_stream *) = stream;
    return TRUE;
}

Wie der PoC funktioniert

Standardmäßig führt das Skript eine 3-Phasen-Pipeline auf dem Ziel aus:

Der RCE-Score wird aus drei Signalen berechnet, die aus der Ferne erkennbar sind. Erstens, ob Apache 2.4.66 läuft. Zweitens, ob Event oder Worker MPM verwendet wird (mod_http2 weigert sich, mit Prefork zu starten; wenn HTTP/2 funktioniert, handelt es sich um ein Threaded-MPM). Drittens, wie deterministisch der Absturz ist – ein Absturz in der ersten Runde bedeutet, dass die Heap-Korruption kontrolliert und reproduzierbar ist, was für RCE erforderlich ist.

Installation

pip install hpack requests

Verwendung

# Vollständiger PoC auf einem einzelnen Ziel (Standardverhalten)
python poc.py -t 192.168.1.100

# Erhöhter Druck mit mehr Runden, größeren Bursts und mehr Threads
python poc.py -t 192.168.1.100 -n 20 -b 500 -w 5

# Nur passiver Check, nichts wird an das Ziel gesendet
python poc.py -t example.com --check-only

# Eine ganze Liste von Zielen scannen
python poc.py -l sites.txt -o results.json

# Passiver Check auf einer Liste
python poc.py -l sites.txt --check-only

# Erstellen eines Markdown-Berichts nach dem Lauf
python poc.py -t target.com --report report.md

Optionen

Format der Zielliste

# ein Ziel pro Zeile, Kommentare werden ignoriert
192.168.1.100
example.com
example.com:8443
https://example.com
http://example.com:8080

RCE-Risikostufen

Wie man patcht

Die richtige Lösung ist ein Upgrade von Apache auf 2.4.67 oder neuer. Falls ein sofortiges Upgrade nicht möglich ist, deaktiviert man HTTP/2 vollständig, um die Angriffsfläche zu beseitigen:

# Vorher
Protocols h2 http/1.1

# Nachher (deaktiviert HTTP/2)
Protocols http/1.1

Haftungsausschluss

Dieses Tool ist nur für autorisierte Sicherheitstests und Forschung gedacht. Stellen Sie sicher, dass Sie eine ausdrückliche schriftliche Genehmigung haben, bevor Sie es gegen ein Ziel einsetzen. Der Autor übernimmt keine Verantwortung für Missbrauch.