HTTP/2 rakenduste rünnak, mis viib mäluresurdenyeni

Avasime teavet 'HTTP/2 Bomb' haavatavuse kohta, mis mõjutab mitmeid HTTP/2 protokolli rakendusi ja võimaldab teenusekatkestust, põhjustades kogu protsessile saadaoleva mälu ammendumise. Probleemi kinnitavad HTTP-serverid nginx, Apache httpd (CVE-2026-49975), Microsoft IIS, Envoy (CVE-2026-47774) ja Cloudflare Pingora vaikeseadistustes.

Haavatavus kasutab meetodit, mis meenutab zip-bommi ja rakendub HTTP/2 peade kokkusurumise funktsionaalsusele. Idee on see, et päring võib sisaldada tuhandeid kokkusurutud päiseid, nagu 'Cookie', ilma seotud andmeteta, millest igaüht esindab artiklis HPACK indeksis ühe baitiga viide, kuid  serveris nõuab kogu päise jaoks tõelise mälu eraldamist. Erinevate HTTP-serverite mälukasutus varieerub ligikaudu 70 baiti iga bait indeksi kohta nginx, IIS ja Pingora puhul kuni 4000 baiti Apache httpd-s ja 5700 baiti Envoy puhul. Rünnaku puhul tarbijaks arvutist, millel on 100 Mbps ühendus, kulub 32 GB mälu ammendamiseks ligikaudu 10 sekundit rünnakuga server versioonile Envoy 1.37.2, 18 sekundit — Apache httpd 2.4.67 ja 45 sekundit — nginx 1.29.7.

Haavatavuse blokeerimiseks on nginx 1.29.8 väljalaskes freenginx projektist ühendatud direktiiv max_headers, mis vaikimisi lubab töödelda mitte rohkem kui 1000 pead. Envoy-s on parandamine
kaasa arvatud väljalasketes 1.35.11 ja 1.36.7, kus on rakendatud muudetavate_max_request_headers_kb ja max_headers_count piirangud. Apache httpd-s on parandamine ette nähtud mod_http2 mooduli 2.0.41 versioonis, mis ei ole veel Apache httpd väljalasketesse jõudnud.
Microsoft IIS ja Cloudflare Pingora jaoks parandusi praegu pole.
Kaitse mööduteena võib välja lülitada HTTP/2 protokolli ja seadistada mälu suuruse piirangut, mis on saadaval tööprotsessidele.

Allikas: opennet.ru