I begyndelsen af juni 2026 opdagede cybersikkerhedsforskere fra firmaet Calif (ved hjælp af AI-agenten Codex) en ny variant af HTTP/2 Bomb-angrebet, som fungerer selv fra en enkelt klientenhed med en internetforbindelse på 100 Mbit/s.
Angrebet består af to faser:
Manipulering af HPACK-kompression: I HTTP/2-protokollen komprimeres overskrifter ved hjælp af HPACK-tabellen. Angriberen sender en næsten tom overskrift, men tvinger, ved hjælp af hundredtusinder af instruktioner, server til konstant at pakke ud og henvise til den samme lille komponent. Dette forårsager en lavine af hukommelsesforbrug. server.
Blokering af flowkontrol: Når hukommelsen er fyldt, sætter angriberen størrelsen på flowkontrolvinduet til 0. Dette får serveren til at standse med at sende svar og holde den optagne hukommelse ved hjælp af periodiske 1-byte forespørgsler.
En enkelt klient kan på 10-20 sekunder forbruge mellem 32-64 GB RAM. Niveauet for hukommelsesforbrug varierer mellem forskellige HTTP-servere fra cirka 70 byte pr. byte i indekset for nginx, IIS og Pingora, op til 4000 byte i Apache httpd og 5700 i Envoy.
Næsten alle hovedimplementeringer af HTTP/2 er sårbare i standardkonfigurationer:
NGINX, Apache HTTPD (modulet mod_http2), Microsoft IIS, Envoy, Cloudflare, Pingora
Sårbarheden er blevet rettet i nginx 1.29.8 (ved hjælp af max_headers-direktivet fra freenginx, der som standard tillader behandling af ikke mere end 1000 overskrifter), Envoy 1.35.11 og 1.36.7 (mutable_max_request_headers_kb og max_headers_count), Apache mod_http2 2.0.41. Der findes endnu ingen rettelser til Microsoft IIS og Cloudflare Pingora.
HTTP-serveren Angie er ikke sårbar overfor dette angreb, da den implementerede beskyttelse mod denne type angreb allerede i version 1.8.0, som blev udgivet i 2024.
Kilde: linux.org.ru
