Présentation de la faille
Le serveur web Apache HTTP, dans sa prise en charge du protocole HTTP/2, présente une vulnérabilité qualifiée de critique. Selon le titre de la source, la faille permet à un attaquant non authentifié d’exécuter du code sur le serveur cible. Aucun détail supplémentaire n’est fourni, mais le caractère « critical » indique un risque élevé pour les déploiements qui utilisent HTTP/2.
Mécanisme technique
Apache HTTP intègre le module mod_http2 pour gérer la multiplexation des flux HTTP/2. Le protocole repose sur la création de cadres (frames) qui sont décodés puis traités par le serveur. Une erreur de validation ou de gestion de ces cadres peut conduire à une corruption de la mémoire, ouvrant ainsi la voie à une exécution de code à distance. Le titre précise que l’attaque ne nécessite aucune authentification, ce qui signifie que l’exploitation peut être initiée depuis n’importe quel hôte capable d’établir une connexion HTTP/2 vers le serveur vulnérable.
Implications et mesures d’atténuation
Une exécution de code non autorisée donne à l’attaquant le contrôle total du processus Apache, pouvant entraîner la compromission de données, la prise de contrôle du système d’exploitation sous-jacent ou la mise en place de services malveillants. En l’absence d’informations précises sur les versions affectées, la recommandation la plus prudente consiste à appliquer immédiatement les correctifs publiés par la fondation Apache dès leur disponibilité, ou à désactiver le support HTTP/2 en retirant le module mod_http2 de la configuration. La surveillance des journaux d’accès pour détecter des requêtes HTTP/2 inhabituelles constitue également une mesure de détection précoce.
