Es wurden Informationen \u00fcber die \u201eHTTP\/2 Bomb\u201c-Schwachstelle ver\u00f6ffentlicht, die verschiedene Implementierungen des HTTP\/2-Protokolls betrifft und einen DoS-Angriff durch Ersch\u00f6pfung des gesamten verf\u00fcgbaren Speichers des Prozesses erm\u00f6glicht. Das Problem wurde bei den HTTP-Servern nginx, Apache httpd (CVE-2026-49975), Microsoft IIS, Envoy (CVE-2026-47774) und Cloudflare Pingora in der Standardkonfiguration best\u00e4tigt.<\/p>\n
Die Schwachstelle nutzt eine Methode, die einer Zip-Bombe \u00e4hnelt und sich auf die Header-Komprimierungsfunktionen in HTTP\/2 auswirkt. Die Idee ist, dass die Anfrage Tausende von komprimierten Headern, wie \u201eCookie\u201c, ohne angeh\u00e4ngte Daten enthalten kann, wobei jeder von ihnen in der Anfrage durch einen einbyteigen Verweis im HPACK-Index dargestellt wird, aber auf Server<\/a> eine vollst\u00e4ndige Zuweisung von Speicher f\u00fcr den gesamten Header erfordert. Der Speicherverbrauch in verschiedenen HTTP-Servern variiert von etwa 70 Byte pro Byte im Index f\u00fcr nginx, IIS und Pingora bis zu 4000 Byte in Apache httpd und 5700 in Envoy. Bei einem Angriff von einem Verbraucher-PC mit einer 100-Mbps-Verbindung sind f\u00fcr die Ersch\u00f6pfung von 32 GB Speicher etwa 10 Sekunden bei einem Angriff auf Server<\/a> Envoy 1.37.2, 18 Sekunden \u2014 Apache httpd 2.4.67 und 45 Sekunden \u2014 nginx 1.29.7.<\/p>\n Um die Schwachstelle zu blockieren, wurde in der Version nginx 1.29.8 die max_headers-Direktive aus dem Freenginx-Projekt \u00fcbernommen, die standardm\u00e4\u00dfig die Verarbeitung von nicht mehr als 1000 Headern erlaubt. In Envoy ist die Korrektur \u0420\u0430\u0441\u043a\u0440\u044b\u0442\u0430 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044f \u043e\u0431 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 «HTTP\/2 Bomb», \u0437\u0430\u0442\u0440\u0430\u0433\u0438\u0432\u0430\u044e\u0449\u0435\u0439 \u0440\u0430\u0437\u043b\u0438\u0447\u043d\u044b\u0435 \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u043f\u0440\u043e\u0442\u043e\u043a\u043e\u043b\u0430 HTTP\/2 \u0438 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0435\u0439 \u0434\u043e\u0431\u0438\u0442\u044c\u0441\u044f \u043e\u0442\u043a\u0430\u0437\u0430 \u0432 \u043e\u0431\u0441\u043b\u0443\u0436\u0438\u0432\u0430\u043d\u0438\u0438 \u0447\u0435\u0440\u0435\u0437 \u0438\u0441\u0447\u0435\u0440\u043f\u0430\u043d\u0438\u0435 \u0432\u0441\u0435\u0439 \u0434\u043e\u0441\u0442\u0443\u043f\u043d\u043e\u0439 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0443 \u043f\u0430\u043c\u044f\u0442\u0438. \u041d\u0430\u043b\u0438\u0447\u0438\u0435 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u044b \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0435\u043d\u043e \u0432 HTTP-\u0441\u0435\u0440\u0432\u0435\u0440\u0430\u0445 nginx, Apache httpd (CVE-2026-49975), Microsoft IIS, Envoy (CVE-2026-47774) \u0438 Cloudflare Pingora \u0432 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438 \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e. \u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 \u043c\u0435\u0442\u043e\u0434, \u043d\u0430\u043f\u043e\u043c\u0438\u043d\u0430\u044e\u0449\u0438\u0439 zip-\u0431\u043e\u043c\u0431\u0443, \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u0435\u043c\u0443\u044e \u043a \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b\u044c\u043d\u043e\u0441\u0442\u0438 \u0441\u0436\u0430\u0442\u0438\u044f \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u043e\u0432 \u0432 HTTP\/2. […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":8,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-181899","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Angriff auf Implementierungen von HTTP\/2, der zu einer Ersch\u00f6pfung des verf\u00fcgbaren Speichers f\u00fchrt | ProHoster","description":"Information zur Schwachstelle \"HTTP\/2 Bomb\" wurde ver\u00f6ffentlicht, die verschiedene Implementierungen des HTTP\/2-Protokolls betrifft und einen Denial-of-Service-Angriff durch Ersch\u00f6pfung des gesamten verf\u00fcgbaren Speichers des Prozesses erm\u00f6glicht.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/news\/ataka-na-realizaczii-http-2-privodyashhaya-k-ischerpaniyu-dostupnoj-pamyati","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0410\u0442\u0430\u043a\u0430 \u043d\u0430 \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 HTTP\/2, \u043f\u0440\u0438\u0432\u043e\u0434\u044f\u0449\u0430\u044f \u043a \u0438\u0441\u0447\u0435\u0440\u043f\u0430\u043d\u0438\u044e \u0434\u043e\u0441\u0442\u0443\u043f\u043d\u043e\u0439 \u043f\u0430\u043c\u044f\u0442\u0438 | ProHoster","og:description":"\u0420\u0430\u0441\u043a\u0440\u044b\u0442\u0430 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044f \u043e\u0431 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 "HTTP\/2 Bomb", \u0437\u0430\u0442\u0440\u0430\u0433\u0438\u0432\u0430\u044e\u0449\u0435\u0439 \u0440\u0430\u0437\u043b\u0438\u0447\u043d\u044b\u0435 \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u043f\u0440\u043e\u0442\u043e\u043a\u043e\u043b\u0430 HTTP\/2 \u0438 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0435\u0439 \u0434\u043e\u0431\u0438\u0442\u044c\u0441\u044f \u043e\u0442\u043a\u0430\u0437\u0430 \u0432 \u043e\u0431\u0441\u043b\u0443\u0436\u0438\u0432\u0430\u043d\u0438\u0438 \u0447\u0435\u0440\u0435\u0437 \u0438\u0441\u0447\u0435\u0440\u043f\u0430\u043d\u0438\u0435 \u0432\u0441\u0435\u0439 \u0434\u043e\u0441\u0442\u0443\u043f\u043d\u043e\u0439 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0443 \u043f\u0430\u043c\u044f\u0442\u0438.","og:url":"https:\/\/prohoster.info\/de\/blog\/news\/ataka-na-realizaczii-http-2-privodyashhaya-k-ischerpaniyu-dostupnoj-pamyati","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2026-06-04T12:48:20+00:00","article:modified_time":"2026-06-04T12:48:20+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/181899","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/8"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=181899"}],"version-history":[{"count":1,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/181899\/revisions"}],"predecessor-version":[{"id":182084,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/181899\/revisions\/182084"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=181899"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=181899"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=181899"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\nin den Versionen 1.35.11 und 1.36.7 enthalten, in denen die Limits mutable_max_request_headers_kb und max_headers_count implementiert wurden. In Apache httpd wurde die Korrektur in der Version des Moduls mod_http2 2.0.41 vorgeschlagen, die noch nicht in die Apache httpd-Releases aufgenommen wurde. F\u00fcr
\nMicrosoft IIS und Cloudflare Pingora liegen derzeit keine Korrekturen vor.
\nAls Umgehungsschutz kann das HTTP\/2-Protokoll deaktiviert und eine Begrenzung der f\u00fcr die Arbeitsprozesse verf\u00fcgbaren Speichergr\u00f6\u00dfe festgelegt werden.
\n
Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"