Na začátku června 2026 objevili výzkumníci v oblasti kybernetické bezpečnosti z firmy Calif (s pomocí AI agenta Codex) novou variantu útoku HTTP/2 Bomb, která funguje i z jednoho klientského zařízení s internetovým připojením o rychlosti 100 Mb/s.
Útok se skládá ze dvou fází:
Manipulace se zmenšením HPACK: V protokolu HTTP/2 se hlavičky zmenšují pomocí tabulky HPACK. Útočník odešle téměř prázdný hlavičkový řádek, ale pomocí statisíců instrukcí donutil server rozbalovat a neustále odkazovat na jeden a ten samý drobný prvek. To způsobuje lavinový nárůst spotřeby paměti. serveru.
Blokace řídicího toku (Flow Control): Poté, co se paměť zaplní, útočník nastaví velikost okna řízení toku (flow-control window) na 0. To způsobí, že server pozastaví odesílání odpovědi, čímž udržuje obsazenou paměť a udržuje připojení otevřené pravidelnými 1bajtovými požadavky.
Celkem jedno zařízení dokáže za 10–20 sekund vyčerpat až 32–64 GB operační paměti. Úroveň spotřeby paměti se u různých HTTP serverů pohybuje od přibližně 70 bajtů na každý bajt v indexu pro nginx, IIS a Pingora, až po 4000 bajtů v Apache httpd a 5700 v Envoy.
Zranitelnosti jsou vystaveny prakticky všechny hlavní serverové implementace HTTP/2 v konfiguracích podle výchozího nastavení:
NGINX, Apache HTTPD (modul mod_http2), Microsoft IIS, Envoy, Cloudflare, Pingora
Zranitelnost byla opravena v nginx 1.29.8 (pomocí direktivy max_headers z freenginx, která ve výchozím nastavení povoluje zpracování maximálně 1000 hlaviček), Envoy 1.35.11 a 1.36.7 (mutable_max_request_headers_kb a max_headers_count), Appache mod_http2 2.0.41. Pro Microsoft IIS a Cloudflare Pingora opravy zatím neexistují.
HTTP server Angie není vystaven zranitelnosti, neboť zavedl ochranu proti podobným útokům již ve verzi 1.8.0, která byla vydána v roce 2024.
Zdroj: linux.org.ru
