Byly zveřejněny informace o zranitelnosti 'HTTP/2 Bomb', která se týká různých implementací protokolu HTTP/2 a umožňuje dosáhnout útoku typu denial-of-service vyčerpáním veškeré dostupné paměti procesu. Problém byl potvrzen na HTTP serverech nginx, Apache httpd (CVE-2026-49975), Microsoft IIS, Envoy (CVE-2026-47774) a Cloudflare Pingora v základní konfiguraci.
Zranitelnost využívá metodu připomínající zip bombu, aplikovanou na funkčnost komprese hlaviček v HTTP/2. Myšlenka spočívá v tom, že dotaz může obsahovat tisíce komprimovaných hlaviček, jako je 'Cookie', bez připojených dat, z nichž každá je v dotazu reprezentována jednobajtovým odkazem v indexu HPACK, avšak serveru vyžaduje plné přidělení paměti pro celou hlavičku. Úroveň spotřeby paměti se na různých HTTP serverech pohybuje od přibližně 70 bytů na každý bajt v indexu pro nginx, IIS a Pingora, až po 4000 bytů v Apache httpd a 5700 v Envoy. Při útoku z koncového počítače s připojením 100 Mbps je pro vyčerpání 32 GB paměti potřeba přibližně 10 sekund při útoku na server verzi Envoy 1.37.2, 18 sekund — Apache httpd 2.4.67 a 45 sekund — nginx 1.29.7.
Aby byla zranitelnost zablokována, byla v vydání nginx 1.29.8 z projektu freenginx přenesena direktiva max_headers, která ve výchozím nastavení umožňuje zpracování maximálně 1000 hlaviček. Oprava v Envoy
je zahrnuta v verzích 1.35.11 a 1.36.7, kde byly implementovány limity mutable_max_request_headers_kb a max_headers_count. Oprava pro Apache httpd je navržena v modulu mod_http2 2.0.41, který zatím nebyl zahrnut do vydání Apache httpd. Opravy pro
Microsoft IIS a Cloudflare Pingora zatím nejsou k dispozici.
Jako obcházející opatření ochrany lze vypnout použití protokolu HTTP/2 a nastavit omezení na velikost paměti dostupné pro pracovní procesy.
Zdroj: opennet.ru
