CVE-2026-23918 Детектор double-free в Apache mod_http2

https://github.com/user-attachments/assets/d6c30e58-548c-4b6d-9ba3-baa667238a58

python3 h2ghost.py -h
                                                    
usage: h2ghost.py [-h] [--host HOST] [--port PORT] [--tls] [--no-tls] [--iterations ITERATIONS]
                  [--burst-n BURST_N] [--timeout TIMEOUT] [--crash-threshold CRASH_THRESHOLD]
                  [--crash-multiplier CRASH_MULTIPLIER] [--crash-min-delta CRASH_MIN_DELTA]
                  [--output OUTPUT] [--check-only] [--skip-check] [--verbose]
                  [TARGET]

Apache mod_http2 CVE-2026-23918 - double-free detector

positional arguments:
  TARGET                https://host:port http://host host:port host IP

options:
  -h, --help            show this help message and exit
  --host HOST           Target host (alt to positional)
  --port PORT           Target port (inferred from scheme/target if omitted)
  --tls                 Force TLS/HTTPS (default: auto-detect)
  --no-tls              Force plain TCP / h2c
  --iterations ITERATIONS
  --burst-n BURST_N     Triggers in check phase (default 10)
  --timeout TIMEOUT     Connection timeout s (default 2.5; use 5+ for internet)
  --crash-threshold CRASH_THRESHOLD
                        Fallback absolute ms when no baseline (default 150)
  --crash-multiplier CRASH_MULTIPLIER
                        reconnect/baseline ratio to flag as crash (default 1.3x)
  --crash-min-delta CRASH_MIN_DELTA
                        min ms above baseline (AND ratio) to flag crash (default 80ms)
  --output OUTPUT
  --check-only
  --skip-check
  --verbose

Crash detection logic
---------------------
  Trigger connection closing is NORMAL on both servers.
  A crash requires: PING fails on a FRESH connection AND
  reconnect > 150 ms (MPM restart delay).

Examples
--------
  python3 h2ghost.py https://127.0.0.1:9443 --check-only
  python3 h2ghost.py 127.0.0.1:7443 --check-only
  python3 h2ghost.py 127.0.0.1:9443 --iterations 200
  python3 h2ghost.py https://example.com --burst-n 20

Сводка по уязвимости

Поле	Значение
CVE	CVE-2026-23918
Критичность	Высокая
CVSS	8.8
Компонент	Apache httpd mod_http2
Влияние	Отказ в обслуживании / Возможный RCE
Исправленная версия	Apache httpd 2.4.67 / mod_http2 2.0.37

Технические детали

• DoS: тривиальный триггер с использованием:

  • 1 соединение
  • 2 HTTP/2 кадра

• Возможный вектор RCE

  • Аллокатор APR mmap
  • Окружения Debian / Docker

• Исправление

  • Apache httpd 2.4.67
  • mod_http2 2.0.37

Авторы

Обнаружение уязвимости

• Bartlomiej Dmitruk - Striga.ai
• Stanislaw Strzalkowski - ISEC.pl

Скрипт детектора

• Alex Hernandez aka (@_alt3kx_)

Ссылки

• https://www.cve.org/CVERecord?id=CVE-2026-23918
• https://httpd.apache.org/security/vulnerabilities_24.html
• https://github.com/apache/httpd/blob/trunk/CHANGES
• https://bz.apache.org/bugzilla/show_bug.cgi?id=69899

Отказ от ответственности

Этот проект предоставляется строго для:

• Авторизованных оценок безопасности
• Защитного тестирования
• Образовательных исследований

Несанкционированное тестирование систем без явного письменного разрешения может нарушать действующее законодательство.

Автор не несёт ответственности за неправомерное использование.