Уязвимост HTTP/2 Bomb, водеща до изчерпване на оперативната памет

В началото на юни 2026 година изследователите по киберсигурност от компания Calif (с помощта на AI-агента Codex) откриха нов вариант на атаката HTTP/2 Bomb, който работи дори с едно клиентско устройство с интернет връзка с скорост 100 Мбит/с.

Атаката се състои от два етапа:

1. Манипулация на компресията HPACK: В протокола HTTP/2 заглавията се компресират с помощта на таблицата HPACK. Атакуващият изпраща почти празно заглавие, но с помощта на стотици хиляди инструкции принуждава сървър да разпакова и постоянно да се позовава на един и същи малък елемент. Това предизвиква лавинообразно изразходване на паметта. сървър.

2. Блокиране на управлението на потока (Flow Control): След като паметта е запълнена, нападателят задава размера на контролния прозорец (flow-control window) на 0. Това принуждава сървъра да спре изпращането на отговор, задържайки заетата памет, и да поддържа връзката отворена с периодични 1-байтови заявки.

Само един клиент може за 10–20 секунди да изразходва до 32–64 ГБ оперативна памет. Степента на разход на памет при различните HTTP-сървъри варира от около 70 байта за всеки байт в индекса за nginx, IIS и Pingora, до 4000 байта в Apache httpd и 5700 в Envoy.

Уязвимостите засягат практически всички основни сървърни реализации на HTTP/2 в конфигурации по подразбиране:
NGINX, Apache HTTPD (модул mod_http2), Microsoft IIS, Envoy, Cloudflare, Pingora.

Уязвимостта е отстранена в nginx 1.29.8 (с помощта на директивата max_headers от freenginx, по подразбиране позволяваща обработка на не повече от 1000 заглавия), Envoy 1.35.11 и 1.36.7 (mutable_max_request_headers_kb и max_headers_count), Apache mod_http2 2.0.41. За Microsoft IIS и Cloudflare Pingora все още няма корекции.

HTTP-сървърът Angie не е подложен на уязвимост, тъй като е реализирал защита от подобни атаки още в версия 1.8.0, излязла през 2024 година.

Източник: linux.org.ru