CVE-2026-119618 Icing — эксплойт и детали уязвимости HIGH

Параметр	Значение
CVSS	8,1 (HIGH)
Уязвимые версии	2.0.8 — 2.4.71
Устранено в версии	2.4.71
Тип уязвимости	CWE-362 (Состояние гонки)
Поставщик	Icing
Публичный эксплойт	Нет

Одновременное выполнение с использованием Shared Resource с уязвимостью Improper Synchronization в Apache HTTP Server's mod_http2 в assign_headers() может привести к RCE. Эта проблема затрагивает Apache HTTP Server: от 2.4.55 до 2.4.70. Затронутые релизы mod_h2 от GitHub: от 2.0.8 до 2.0.42.

Показать оригинальное описание (EN)

Concurrent Execution using Shared Resource with Improper Synchronization vulnerability in Apache HTTP Server's mod_http2 in assign_headers() can lead to RCE. This issue affects Apache HTTP Server: from 2.4.55 through 2.4.70. Affected releases of mod_h2 from GitHub: from 2.0.8 through 2.0.42.

Характеристики атаки

Способ атаки

По сети

Атака возможна удалённо

Сложность

Высокая

Сложно эксплуатировать

Нужны права

Не требуются

Права не нужны

Участие пользователя

Не требуется

Не нужно действие пользователя

Последствия

Конфиденциальность

Высокое

Полная утечка данных

Целостность

Высокое

Полная модификация данных

Доступность

Высокое

Полный отказ в обслуживании

Строка CVSS v3.1

Тип уязвимости (CWE)

CWE-362 Race Condition (Состояние гонки)

Уязвимые продукты 2

Конфигурация	От (включительно)	До (исключительно)
Apache Http_Server cpe:2.3:a:apache:http_server::::::::	`2.4.55`	`2.4.71`
Icing Mod_Http2 cpe:2.3:a:icing:mod_http2::::::apache_httpd::*	`2.0.8`	`2.0.42`