CVE-2026-23918 — Apache mod_http2 डबल फ्री

प्रभावित: Apache HTTP Server 2.4.66 with mod_http2 + Event MPM
में ठीक किया गया: Apache 2.4.67 (mod_h2 v2.0.37)
CVSS 3.1: 8.8 HIGH — अनधिकृत रिमोट कोड निष्पादन संभव
CWE: CWE-415 (Double Free)

क्या है कमजोरी

mod_http2 in Apache 2.4.66 के अंदर h2_mplx.c:m_stream_cleanup() में एक डबल-फ्री बग है। समस्या तब होती है जब कोई क्लाइंट उसी स्ट्रीम पर तुरंत RST_STREAM के बाद HEADERS फ्रेम भेजता है। यदि समय सही है, तो स्ट्रीम दो बार m->spurge पर्ज ऐरे में धकेल दी जाती है। जब mplx नष्ट होता है, APR पूल दो बार मुक्त होता है, जो हीप को भ्रष्ट करता है और SIGABRT या SIGSEGV का कारण बनता है।

Apache ने mod_h2 v2.0.37 में add_for_purge() पेश करके इसे ठीक किया, एक सरल डीडुप्लिकेशन जांच जो उसी स्ट्रीम को दो बार जोड़ने से रोकती है।

// Vulnerable (< v2.0.37)
APR_ARRAY_PUSH(m->spurge, h2_stream *) = stream;  // can happen twice

// Fixed (v2.0.37+)
static int add_for_purge(h2_mplx *m, h2_stream *stream) {
    for (int i = 0; i < m->spurge->nelts; ++i)
        if (APR_ARRAY_IDX(m->spurge, i, h2_stream*) == stream)
            return FALSE;
    APR_ARRAY_PUSH(m->spurge, h2_stream *) = stream;
    return TRUE;
}

PoC कैसे काम करता है

डिफ़ॉल्ट रूप से स्क्रिप्ट लक्ष्य पर तीन-चरणीय पाइपलाइन चलाती है:

RCE स्कोर तीन संकेतों से गणना की जाती है जो दूरस्थ रूप से पता लगाने योग्य हैं। पहला, क्या Apache 2.4.66 चल रहा है। दूसरा, क्या Event या Worker MPM उपयोग में है (mod_http2 Prefork के साथ शुरू होने से मना करता है, इसलिए यदि HTTP/2 काम करता है, तो यह एक थ्रेडेड MPM है)। तीसरा, क्रैश कितना निर्धारक है — पहले दौर में क्रैश का मतलब है कि हीप भ्रष्टाचार नियंत्रित और पुन: उत्पन्न करने योग्य है, जो RCE के लिए आवश्यक है।

स्थापना

pip install hpack requests

उपयोग

# Full PoC on a single target (default behavior)
python poc.py -t 192.168.1.100

# Increase pressure with more rounds, bigger bursts and more threads
python poc.py -t 192.168.1.100 -n 20 -b 500 -w 5

# Passive check only, nothing is sent to the target
python poc.py -t example.com --check-only

# Scan a whole list of targets
python poc.py -l sites.txt -o results.json

# Passive check on a list
python poc.py -l sites.txt --check-only

# Generate a Markdown report after the run
python poc.py -t target.com --report report.md

विकल्प

लक्ष्य फ़ाइल प्रारूप

# one target per line, comments are ignored
192.168.1.100
example.com
example.com:8443
https://example.com
http://example.com:8080

RCE जोखिम स्तर

पैच कैसे करें

सही समाधान Apache को 2.4.67 या बाद के संस्करण में अपग्रेड करना है। यदि आप तुरंत अपग्रेड नहीं कर सकते, तो HTTP/2 को अक्षम करना पूरी तरह से हमले की सतह को हटा देता है:

# Before
Protocols h2 http/1.1

# After (disables HTTP/2)
Protocols http/1.1

अस्वीकरण

यह उपकरण केवल अधिकृत सुरक्षा परीक्षण और शोध के लिए है। किसी भी लक्ष्य के विरुद्ध इसे चलाने से पहले सुनिश्चित करें कि आपके पास स्पष्ट लिखित अनुमति है। लेखक दुरुपयोग के लिए कोई जिम्मेदारी नहीं लेता है।