Apache HTTP Server: Use-after-free in mod_rewrite via Lookahead-Ausdrücke

Zusammenfassung

Apache HTTP Server in den Versionen 2.4.0 bis 2.4.68 enthält eine Use-after-free-Schwachstelle in mod_rewrite, wenn die Konfiguration Lookahead-Ausdrücke wie %{LA-U:HTTP:...} verwendet. Ein entfernter Angreifer ohne Authentifizierung und ohne Benutzerinteraktion kann möglicherweise einen ungültigen Speicherzugriff auslösen, was zu einem Denial of Service oder potenziell zur Ausführung beliebigen Codes führen kann. Der Angriff betrifft nur Server mit einer betroffenen Rewrite-Konfiguration. Der NVD-Score liegt bei 9.8 (kritisch), während Apache das Problem als niedrig einstuft.

Betroffen

• Apache HTTP Server 2.4.0 bis 2.4.68
• Nur Server, die Lookahead-Ausdrücke wie %{LA-U:HTTP:...} in mod_rewrite-Regeln verwenden (Serverkonfiguration, Virtual Hosts oder .htaccess-Dateien)
• Unbekannt für Version 2.2 und andere Zweige; der Hersteller hat dort keine Korrektur angegeben.

Behoben in

• Apache HTTP Server 2.4.69 (veröffentlicht am 2026-10-01)
• Distributionspakete: Unbekannt für die genauen Build-Nummern; prüfen Sie den Security-Tracker Ihrer Distribution.

Umgehung

• Prüfen Sie die wirksame Konfiguration, einschliesslich Virtual Hosts und .htaccess-Dateien, auf Lookahead-Ausdrücke, die auf HTTP-Header verweisen.
• Entfernen oder ersetzen Sie diese Ausdrücke, soweit die Anforderungen der Anwendung dies zulassen, oder deaktivieren Sie mod_rewrite, wenn die Anwendung es nicht benötigt.
• Diese Änderungen können das URL-Rewriting und das Routing der Anwendung beeinflussen.

Ausnutzung

• CISA KEV: laut einem Aggregator nicht gelistet; im CISA-Katalog direkt prüfen.
• Öffentlicher Exploit-Code: keiner gefunden; fehlende Treffer in Suchen sind kein Beweis.
• EPSS: etwa 0.56% (45. Perzentil) laut einem Aggregator; nur als grobes Signal verwenden.
• CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.

Unsere Empfehlung

• Erfassen Sie alle Apache HTTP Server 2.4 Instanzen, einschliesslich Container und Appliances, und vergleichen Sie die Versionen mit 2.4.69.
• Durchsuchen Sie Konfigurationen und .htaccess-Dateien nach LA-U:HTTP: und anderen LA-Lookahead-Ausdrücken; deaktivieren Sie mod_rewrite, wo es nicht benötigt wird.
• Aktualisieren Sie auf 2.4.69 oder den korrigierten Build Ihrer Distribution und installieren Sie alle weiteren Korrekturen aus derselben Version, einschliesslich CVE-2026-57941.
• Beobachten Sie den CISA-KEV-Katalog und die Herstellerhinweise, da sich die Einstufung und die Exploitation-Signale ändern können.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Apache HTTP Server 2.4 vulnerabilities httpd.apache.org
• oss-security mailing list: CVE-2026-56154 www.openwall.com
• Red Hat CVE-2026-56154 access.redhat.com
• Ubuntu CVE-2026-56154 notice (CIRCL) vulnerability.circl.lu
• OSV: DEBIAN-CVE-2026-56154 osv.dev
• CVE record JSON (CVE List V5) raw.githubusercontent.com
• Cyber-Defence CVE-2026-56154 www.cyber-defence.io
• TheHackerWire CVE-2026-56154 www.thehackerwire.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 21:36.