«HTTP/2 Bomb» zəifliyi haqqında məlumat, HTTP/2 protokolunun müxtəlif icralarını əhatə edir və bütün mövcud proses yaddaşını tükəndirərək xidmətin dayandırılmasına imkan tanıyır. Problemin varlığı nginx, Apache httpd (CVE-2026-49975), Microsoft IIS, Envoy (CVE-2026-47774) və Cloudflare Pingora-nın standart konfiqurasiyasında təsdiqlənmişdir.
Zəiflik, HTTP/2-də başlıqların sıxışdırılması funksiyasına tətbiq olunan zip bombasına bənzəyən bir metoddan istifadə edir. Fikrin mərkəzi ondan ibarətdir ki, sorğu, əlavə məlumat olmadan, HPACK-də birbaytlıq istinadla təqdim olunan minlərlə sıxışdırılmış başlıqları, məsələn, "Cookie" kimi, əhatə edə bilər, lakin sunucusu şamil olduğu başlıq üçün tam yaddaş ayrılmasını tələb edir. Müxtəlif HTTP serverlərində yaddaş istehlak səviyyəsi, nginx, IIS və Pingora üçün hər bir indeks baytı üçün təxminən 70 baytdan, Apache httpd-də 4000 bayta və Envoy-da 5700 bayta qədər dəyişir. 100Mbps bağlantıya malik bir istehlakçı kompüterindən edilən bir hücumda, 32 GB yaddaşı bitirmək üçün təxminən 10 saniyə, server Envoy 1.37.2, 18 saniyə - Apache httpd 2.4.67, və 45 saniyə - nginx 1.29.7 zamanı tələb olunur.
Zəiflinin qarşısını almaq üçün nginx 1.29.8 versiyasında freenginx layihəsindən max_headers direktivi köçürülmüşdür, bu, standart olaraq 1000-dən çox başlığın emalına icazə verir. Envoy-da düzəliş
1.35.11 və 1.36.7 versiyalarına daxil edilmişdir, burada mutable_max_request_headers_kb və max_headers_count limitləri tətbiq olunmuşdur. Apache httpd-də düzəliş mod_http2 2.0.41 modulu versiyasında təqdim edildi, bu isə hələ Apache httpd-nin buraxılışlarına daxil edilməmişdir.
Microsoft IIS və Cloudflare Pingora üçün hələ düzəlişlər mövcud deyil.
Qoruma üçün alternativ yolu HTTP/2 protokolunun istifadəsini dayandırmaq və işçi proseslər üçün əlçatan yaddaş ölçüsünün limitini təyin etməkdir.
Mənbə: opennet.ru
