Oplysninger om sårbarheden "HTTP/2 Bomb" er blevet afsløret, som påvirker forskellige implementeringer af HTTP/2-protokollen og muliggør nedbrud ved at opbruge al tilgængelig hukommelse i processen. Problemet er bekræftet i HTTP-servere som nginx, Apache httpd (CVE-2026-49975), Microsoft IIS, Envoy (CVE-2026-47774) og Cloudflare Pingora i standardkonfiguration.
Sårbarheden anvender en metode, der ligner en zip-bombe, der bruges til komprimeringsfunktionaliteten i HTTP/2. Ideen er, at en anmodning kan indeholde tusindvis af komprimerede overskrifter, såsom "Cookie", uden vedhæftede data, hver af dem repræsenteret i anmodningen med en enkelt bytes reference i HPACK-indekset, men kræver serveren fuld hukommelsesallokering til hele overskriften. Niveauet for hukommelsesforbrug varierer blandt de forskellige HTTP-servere fra cirka 70 bytes pr. byte i indekset for nginx, IIS og Pingora, op til 4000 bytes i Apache httpd og 5700 i Envoy. Ved et angreb fra en forbrugercomputer med en forbindelse på 100 Mbps kræves der cirka 10 sekunder for at opbruge 32 GB hukommelse ved et angreb på server Envoy 1.37.2, 18 sekunder for Apache httpd 2.4.67 og 45 sekunder for nginx 1.29.7.
For at blokere sårbarheden er direktivet max_headers flyttet til nginx version 1.29.8 fra freenginx-projektet, som som standard tillader behandling af ikke flere end 1000 overskrifter. I Envoy er rettelsen
inkluderet i udgivelserne 1.35.11 og 1.36.7, som implementerer grænserne mutable_max_request_headers_kb og max_headers_count. I Apache httpd er rettelsen foreslået i udgivelsen af mod_http2-modulet 2.0.41, som endnu ikke er inkluderet i Apache httpd-udgivelserne. For
Microsoft IIS og Cloudflare Pingora findes der endnu ikke rettelser.
Som en midlertidig beskyttelsesmetode kan brugen af HTTP/2-protokollen deaktiveres, og der kan opstilles en grænse for mængden af hukommelse, der er tilgængelig for arbejdsgange.
Kilde: opennet.ru
