Anfang Juni 2026 entdeckten Sicherheitsexperten von Calif (unter Einsatz des KI-Agenten Codex) eine neue Variante des HTTP/2 Bomb-Angriffs, die selbst mit einem einzigen Client-Gerät funktioniert, das über eine Internetverbindung mit 100 Mbit/s verfügt.
Der Angriff besteht aus zwei Phasen:
Manipulation der HPACK-Kompression: Im HTTP/2-Protokoll werden Header mithilfe einer HPACK-Tabelle komprimiert. Der Angreifer sendet einen nahezu leeren Header, zwingt jedoch mithilfe von Hunderttausenden von Anweisungen der Server das System dazu, einen winzigen Element kontinuierlich zu entpacken und darauf zuzugreifen. Dies führt zu einem massiven Speicherverbrauch. Server.
Blockierung der Flusskontrolle: Nachdem der Speicher voll ist, setzt der Angreifer die Größe des Steuerfensters auf 0. Das zwingt den Server, das Senden von Antworten zu pausieren und die beanspruchte Speicherkapazität zu halten, indem er sporadisch 1-Byte-Anfragen sendet.
Ein einzelner Kunde kann innerhalb von 10–20 Sekunden bis zu 32–64 GB RAM verbrauchen. Der Speicherverbrauch in verschiedenen HTTP-Servern variiert von etwa 70 Bytes pro Byte im Index für NGINX, IIS und Pingora bis zu 4000 Bytes in Apache httpd und 5700 in Envoy.
Fast alle gängigen HTTP/2-Server-Implementierungen sind in den Standardkonfigurationen anfällig für Sicherheitslücken:
NGINX, Apache HTTPD (mod_http2), Microsoft IIS, Envoy, Cloudflare, Pingora
Die Sicherheitsanfälligkeit wurde in nginx 1.29.8 (mittels der max_headers-Direktive aus freenginx, die standardmäßig maximal 1000 Header zulässt), Envoy 1.35.11 und 1.36.7 (mutable_max_request_headers_kb und max_headers_count) sowie Apache mod_http2 2.0.41 behoben. Für Microsoft IIS und Cloudflare Pingora gibt es derzeit keine Patches.
Der HTTP-Server Angie ist nicht anfällig für diese Sicherheitslücke, da er bereits in Version 1.8.0, die 2024 veröffentlicht wurde, Schutzmaßnahmen gegen solche Angriffe implementiert hat.
Quelle: linux.org.ru
