Apache HTTP Server出现严重安全漏洞 开启HTTP/2的服务器可能被远程代码执行
内容提要
Apache HTTP Server的HTTP/2模块存在严重漏洞，攻击者无需身份验证即可触发并发同步缺陷，导致堆内存损坏，并以工作进程权限执行任意代码。受影响版本为2.4.55至2.4.70及mod_h2 2.0.8至2.0.42。Apache已于11月11日发布2.4.71版修复，建议立即升级，无法升级可临时关闭HTTP/2。该漏洞由AI工具发现。
延伸解读
漏洞触发条件与配置检查要点
该漏洞位于 mod_http2 的 assign_headers() 函数，攻击者无需身份验证即可触发并发同步缺陷，导致堆内存损坏。红帽指出，风险涉及通过 Protocols 指令启用 HTTP/2 的服务器，包括加密的 H2 和明文的 H2C。管理员需同时检查全局配置和各个虚拟主机配置；若前端部署 CDN 或反向代理，还需确认 Apache 源站是否可直接通过 HTTP/2 访问，避免遗漏暴露面。
修复与临时缓解的优先级
Apache 已于 11 月 11 日发布 2.4.71 版修复该问题，建议受影响用户立即升级。若暂时无法升级，可临时关闭 HTTP/2 配置以降低风险。受影响版本包括 Apache HTTP Server 2.4.55 至 2.4.70，以及单独从 GitHub 使用的 mod_h2 2.0.8 至 2.0.42。由于漏洞可导致以工作进程权限执行代码并访问其可读数据，升级应优先于其他常规维护。
AI 发现漏洞的协作信号
该漏洞由 AI 工具发现：Anthropic OSS Scanner 开源项目扫描计划于 10 月 26 日向 Apache 基金会报告，Google Cloud 漏洞研究团队于 11 月 3 日报告相同漏洞。这表明 AI 辅助漏洞挖掘已能触及真实开源基础设施中的高危缺陷，也提示项目维护方需关注来自自动化扫描的漏洞报告，并建立相应的响应流程。
Q&A
Apache HTTP Server 最近爆出了什么安全漏洞？
Apache HTTP Server 的 HTTP/2 模块存在严重漏洞，攻击者无需身份验证即可触发并发同步缺陷，导致堆内存损坏，并能以工作进程权限执行任意代码。
哪些版本的 Apache HTTP Server 受这个漏洞影响？
受影响版本包括 Apache HTTP Server 2.4.55 到 2.4.70，以及单独从 GitHub 使用的 mod_h2 2.0.8 到 2.0.42。
这个漏洞是怎么产生的？
漏洞位于 mod_http2 的 assign_headers() 函数，HTTP/2 允许同一连接并发处理多个请求，而该函数在处理共享资源时存在同步缺陷，可能导致堆内存破坏。
如何修复或缓解这个 Apache 漏洞？
Apache 已于 11 月 11 日发布 2.4.71 版修复该漏洞，建议立即升级；若无法升级，可临时关闭 HTTP/2 配置作为缓解措施。
这个漏洞是由谁发现的？
该漏洞由 AI 工具发现，分别由 Anthropic OSS Scanner 开源项目扫描计划和 Google Cloud 漏洞研究团队报告，Anthropic 于 10 月 26 日报告，谷歌云团队于 11 月 3 日报告相同漏洞。
攻击者利用这个漏洞能造成什么危害？
攻击者无需身份验证即可触发漏洞，成功利用后能以 Apache 工作进程的权限执行代码、访问该进程可读取的数据，威胁服务器上的业务。
