Parche crítico do Apache HTTP Server 2.4.67 ante vulnerabilidade grave de HTTP/2 que pode provocar recusa de serviço e execução remota de código

A Fundação Apache publicou adesivos críticos para o servidor HTTP após a descoberta de uma vulnerabilidade grave no manejo de HTTP/2 que pode resultar em recusa de serviço e, em determinadas condições, em execução remota de código. A versão corrigida é Apache HTTP Server 2.4.67 e a recomendação imediata para administradores é atualizar quanto antes as instâncias afetadas que ainda executem 2.4.66 ou anteriores.

O problema situa-se na lógica de limpeza de fluxos de mod_http2 e é um caso clássico de dupla liberação de memória que pode ser disparado por uma sequência de tramas HTTP/2 enviadas por um cliente. Em termos práticos, isto significa que um atacante remoto pode causar que um trabalhador se bloqueie com um par de pacotes bem formados; a recusa de serviço é trivial para reproduzir em implantação por defeito. A rota para execução remota de código (RCE) requer condições adicionais — um atribuídor de memória mmap em APR e uma cadeia de passos para reutilizar o endereço liberado — mas pesquisadores mostraram que é viável em laboratório sob as configurações comuns no Debian e na imagem Docker oficial de httpd.

Que a exploração de RCE dependa do atribuídor mmap e de elementos como o “scoreboard” do servidor converte algumas plataformas em objetivos mais atrativos: no Debian e na imagem oficial de Docker o comportamento por defeito facilita o encadeamento do exploit. As configurações multi-hilo com mod_http2 habilitado são as mais expostas; o MPM prefork não sofre este erro, pelo que mudar temporariamente para o pré-fork pode ser uma mitigação parcial em ambientes onde não seja possível adesivo imediatamente.

Além do adesivo, as medidas de mitigação imediatas a considerar são: actualizar para 2.4.67 em todos os servidores expostos, desactivar o mod_http2 se não for estritamente necessário e rever se o APR estiver a usar o alocador mmap (uma recompilação de APR sem mmap reduz a janela de exploração). Para ambientes em contentores, certifique-se de reconstruir e implantar imagens baseadas na versão corrigida do servidor e valide que as imagens em produção não sigam usando a versão vulnerável.

Operadores e equipamentos de segurança devem monitorizar indicadores claros de abuso: padrões de conexão que causam reinícios repetidos de workers, core dumps, ou entradas incomuns em registros de erro de httpd. Implementar limites de taxa a nível de balanceador ou corta-fogos, ou forçar a conclusão de HTTP/2 em um proxy/terminador TLS que esteja adesivo, pode conter ataques dirigidos enquanto se aplica a atualização no parque completo.

A vulnerabilidade foi relatada por pesquisadores independentes e sua qualificação CVSS (8.8 segundo o relatório) destaca seu impacto. Embora o caminho para a RCE exija condições técnicas adicionais e um certo grau de “spray” e fuga de informação, os ataques de recusa de serviço são simples e suficientes para justificar a prioridade no adesivo. Para mais detalhes técnicos e a lista oficial de correções consulte a página de segurança do Apache HTTP Server e a documentação do mod_http2. https://httpd.apache.org/security/vulnerabilities_24.html e https://httpd.apache.org/docs/2.4/mod/mod_http2.html.

Em resumo: aplique a versão 2.4.67 quanto antes, priorice servidores públicos e contêineres baseados na Debian ou a imagem oficial de httpd, considere mitigações temporárias como desativar mod_http2 ou mudar para pré-fork se não puder adesivos de imediato, e aumente a vigilância de eventos de estabilidade e tráfego anormais nas suas frentes HTTP/2.