搜索
Apache HTTP Server 出现严重安全漏洞 开启 HTTP/2 的服务器可能被远程代码执行
47 分钟前
知名开源服务器软件Apache HTTP Server存在严重安全漏洞，攻击者可构造请求破坏服务器内存，并以Web服务进程权限执行代码。Apache已发布2.4.71版本修复该漏洞，建议相关网站立即升级；暂无法升级者可临时关闭HTTP/2配置。受影响版本包括Apache HTTP Server 2.4.55至2.4.70版，以及单独从GitHub使用的mod_h2 2.0.8至2.0.42版。启用HTTP/2的服务器均面临该漏洞风险，管理员需检查全局及各虚拟主机配置；部署CDN或反向代理的场景也需核查源站是否可直接通过HTTP/2访问。该漏洞源于mod_http2的assign_headers()函数处理共享资源时存在同步缺陷，可引发堆内存破坏，无需身份验证的访问者即可触发利用，威胁服务器业务安全。该漏洞由相关AI漏洞扫描项目与研究团队先后发现并上报。
