Schwachstelle HTTP/2 Bomb, die zu einem Erschöpfungsangriff auf den Speicher führt

Anfang Juni 2026 entdeckten Cybersecurity-Forscher von Calif (mit Hilfe des KI-Agenten Codex) eine neue Variante des HTTP/2 Bomb-Angriffs, der selbst mit einem einzigen Client-Gerät funktioniert, das über eine Internetverbindung mit 100 Mbit/s verfügt.

Der Angriff besteht aus zwei Phasen:

1. Manipulation der HPACK-Kompression: Im HTTP/2-Protokoll werden die Header mit Hilfe einer HPACK-Tabelle komprimiert. Der Angreifer sendet fast einen leeren Header, zwingt jedoch durch Hunderttausende von Anweisungen Server dazu, ein und dasselbe winzige Element ständig zu entpacken und darauf zuzugreifen. Dies führt zu einem massiven Speicherverbrauch. Server.

2. Blockierung des Flusskontrollmechanismus: Nachdem der Speicher gefüllt ist, setzt der Angreifer die Größe des Flusskontrollfensters auf 0. Dies zwingt den Server, das Senden der Antwort zu pausieren, während der belegte Speicher gehalten wird, und die Verbindung durch gelegentliche 1-Byte-Anfragen offen zu halten.

Ein einziger Client kann innerhalb von 10–20 Sekunden bis zu 32–64 GB RAM verbrauchen. Der Speicherverbrauch variiert zwischen verschiedenen HTTP-Servern, von etwa 70 Byte pro Byte im Index für nginx, IIS und Pingora, bis zu 4000 Byte in Apache httpd und 5700 in Envoy.

Fast alle Hauptimplementierungen von HTTP/2 in den Standardkonfigurationen sind anfällig:
NGINX, Apache HTTPD (modul mod_http2), Microsoft IIS, Envoy, Cloudflare, Pingora

Die Schwachstelle wurde in nginx 1.29.8 (mit der max_headers-Direktive aus freenginx, die standardmäßig nicht mehr als 1000 Header verarbeitet), Envoy 1.35.11 und 1.36.7 (mutable_max_request_headers_kb und max_headers_count), und Apache mod_http2 2.0.41 behoben. Für Microsoft IIS und Cloudflare Pingora gibt es derzeit noch keine Patches.

Der HTTP-Server Angie ist nicht betroffen, da er bereits in Version 1.8.0, die 2024 veröffentlicht wurde, Schutzmaßnahmen gegen derartige Angriffe implementiert hat.

Quelle: linux.org.ru