HTTP/2 rakenduste rünnak, mis viib mälutegevuse ammendumiseni

Tuvastatud on «HTTP/2 Bomb» haavatavus, mis mõjutab erinevaid HTTP/2 protokolli rakendusi ja võimaldab teenuse katkestamist, kurnates kogu protsessile saadaval oleva mälu. Probleemi on kinnitatud HTTP-serverites nagu nginx, Apache httpd (CVE-2026-49975), Microsoft IIS, Envoy (CVE-2026-47774) ja Cloudflare Pingora vaikeseadistustes.

Haavatavus kasutab meetodit, mis meenutab zip-pommi, millel on mõju HTTP/2 pealkirjade tihendamise funktsionaalsusele. Idee seisneb selles, et päring võib sisaldada tuhandeid tihendatud pealkirju, nagu „Cookie“, ilma lisatud andmeteta, kus igaüks neist esindatakse päringus ühekohalise viitena HPACKi indeksis, kuid siiski serveril nõuab mälule väärtusliku mälusekundi eraldamist kogu pealkirja jaoks. Mälu kasutamise tase erinevates HTTP-serverites varieerub umbes 70 baitist iga indeksi baitide kohta nginxis, IIS-is ja Pingoras, kuni 4000 baitini Apache httpd-s ja 5700 baitini Envoy-s. Rünnaku puhul tarbijate arvutist, millel on 100Mbps ühendus, kulub 32 GB mälu kurnamiseks umbes 10 sekundit rünnaku korral server Envoy 1.37.2, 18 sekundit Apache httpd 2.4.67 puhul ja 45 sekundit nginx 1.29.7 puhul.

Vigade blokeerimiseks on Nginx 1.29.8 väljaandes projektist freenginx suunitud direktiiv max_headers, mis vaikimisi lubab töödelda maksimaalselt 1000 päist. Envoy korrektsioon
on kaasatud väljaannetesse 1.35.11 ja 1.36.7, kus on rakendatud piirangud mutable_max_request_headers_kb ja max_headers_count. Apache httpd-s on parandamine ette nähtud mooduli mod_http2 väljaandes 2.0.41, mis ei ole veel Apache httpd väljaannetesse kantud. Selle
Microsoft IIS ja Cloudflare Pingora jaoks pole parandusi praegu saadaval.
Kaitse omamoodi lahendusena võib protokolli HTTP/2 kasutamise välja lülitada ja määrata piirangu mälule, mis on töötlemisprotsessidele saadaval.

Allikas: opennet.ru