CVE-2026-23918 Détecteur de double libération Apache mod_http2

https://github.com/user-attachments/assets/d6c30e58-548c-4b6d-9ba3-baa667238a58

python3 h2ghost.py -h
                                                    
usage: h2ghost.py [-h] [--host HOST] [--port PORT] [--tls] [--no-tls] [--iterations ITERATIONS]
                  [--burst-n BURST_N] [--timeout TIMEOUT] [--crash-threshold CRASH_THRESHOLD]
                  [--crash-multiplier CRASH_MULTIPLIER] [--crash-min-delta CRASH_MIN_DELTA]
                  [--output OUTPUT] [--check-only] [--skip-check] [--verbose]
                  [TARGET]

Apache mod_http2 CVE-2026-23918 - double-free detector

positional arguments:
  TARGET                https://host:port http://host host:port host IP

options:
  -h, --help            show this help message and exit
  --host HOST           Target host (alt to positional)
  --port PORT           Target port (inferred from scheme/target if omitted)
  --tls                 Force TLS/HTTPS (default: auto-detect)
  --no-tls              Force plain TCP / h2c
  --iterations ITERATIONS
  --burst-n BURST_N     Triggers in check phase (default 10)
  --timeout TIMEOUT     Connection timeout s (default 2.5; use 5+ for internet)
  --crash-threshold CRASH_THRESHOLD
                        Fallback absolute ms when no baseline (default 150)
  --crash-multiplier CRASH_MULTIPLIER
                        reconnect/baseline ratio to flag as crash (default 1.3x)
  --crash-min-delta CRASH_MIN_DELTA
                        min ms above baseline (AND ratio) to flag crash (default 80ms)
  --output OUTPUT
  --check-only
  --skip-check
  --verbose

Crash detection logic
---------------------
  Trigger connection closing is NORMAL on both servers.
  A crash requires: PING fails on a FRESH connection AND
  reconnect > 150 ms (MPM restart delay).

Examples
--------
  python3 h2ghost.py https://127.0.0.1:9443 --check-only
  python3 h2ghost.py 127.0.0.1:7443 --check-only
  python3 h2ghost.py 127.0.0.1:9443 --iterations 200
  python3 h2ghost.py https://example.com --burst-n 20

Résumé de la vulnérabilité

Champ	Valeur
CVE	CVE-2026-23918
Gravité	Élevée
CVSS	8.8
Composant	Apache httpd mod_http2
Impact	Déni de service / RCE potentielle
Version corrigée	Apache httpd 2.4.67 / mod_http2 2.0.37

Détails techniques

• DoS : déclenchement trivial utilisant :

  • 1 connection
  • 2 HTTP/2 frames

• Vecteur de RCE potentielle

  • Allocateur mmap APR
  • Environnements Debian / Docker

• Correctif

  • Apache httpd 2.4.67
  • mod_http2 2.0.37

Crédits

Découverte de la vulnérabilité

• Bartlomiej Dmitruk - Striga.ai
• Stanislaw Strzalkowski - ISEC.pl

Script de détection

• Alex Hernandez alias (@_alt3kx_)

Références

• https://www.cve.org/CVERecord?id=CVE-2026-23918
• https://httpd.apache.org/security/vulnerabilities_24.html
• https://github.com/apache/httpd/blob/trunk/CHANGES
• https://bz.apache.org/bugzilla/show_bug.cgi?id=69899

Clause de non-responsabilité

Ce projet est fourni strictement pour :

• Les évaluations de sécurité autorisées
• Les tests défensifs
• La recherche à des fins éducatives

Les tests non autorisés sur des systèmes sans autorisation écrite explicite peuvent violer les lois applicables.

L'auteur décline toute responsabilité en cas d'utilisation abusive.