ChainCatcher'a göre, Apache HTTP Server sürümleri 2.4.55 ile 2.4.70 arasında, HTTP/2 modülünde (mod_h2 2.0.8-2.0.42) kritik bir uzaktan kod yürütme açığı bulunmaktadır. Saldırganlar, kimlik doğrulama olmadan bir eşzamanlılık senkronizasyon hatasını tetikleyerek, yığın bellek bozulmasına ve Apache işçi süreci ayrıcalıklarıyla kod yürütülmesine neden olabilirler. Etkilenen sunucular, Protokoller yönergesi aracılığıyla HTTP/2 protokolünü kullanmakta olup, şifreli (H2) ve düz metin (H2C) bağlantıları içermektedir.
Apache, 11 Kasım'da bir yamanın bulunduğu 2.4.71 sürümünü yayımladı. Web sitesi yöneticilerinin derhal güncellemeleri veya güncelleme mümkün değilse geçici olarak HTTP/2'yi devre dışı bırakmaları önerilmektedir. CDN veya ters proxy arkasındaki etkilenen sunucular, Apache kökenlerinin HTTP/2 üzerinden doğrudan erişilebilir olmadığını doğrulamalıdır. Açık, Anthropic'in açık kaynaklı güvenlik tarayıcısı ve Google Cloud'un güvenlik araştırma ekibi tarafından keşfedilmiştir.
