Otkrivena je ranjivost "HTTP/2 Bomb" koja utječe na različite implementacije protokola HTTP/2 i omogućava odbijanje usluge putem iscrpljivanja sve dostupne memorije procesa. Problem je potvrđen na HTTP poslužiteljima nginx, Apache httpd (CVE-2026-49975), Microsoft IIS, Envoy (CVE-2026-47774) i Cloudflare Pingora u zadanoj konfiguraciji.
Ranjivost koristi metodu koja podsjeća na zip-bombu, primijenjenu na funkcionalnost kompresije zaglavlja u HTTP/2. Ideja je u tome da zahtjev može sadržavati tisuće komprimiranih zaglavlja, poput "Cookie", bez priloženih podataka, pri čemu je svako od njih predstavljeno jednom bajt stazom u HPACK indeksu, ali zahtijeva potpuno dodjeljivanje memorije za cijelo zaglavlje. serveru Razina potrošnje memorije varira među različitim HTTP poslužiteljima, od otprilike 70 bajtova po bajtu u indeksu za nginx, IIS i Pingora, do 4000 bajtova u Apache httpd i 5700 u Envoy. Kada se napada s osobnog računala s brzinom veze od 100 Mbps, za iscrpljivanje 32 GB memorije potrebno je otprilike 10 sekundi pri napadu na server Envoy 1.37.2, 18 sekundi — Apache httpd 2.4.67 i 45 sekundi — nginx 1.29.7.
Kako bi se spriječila ranjivost, u izdanju nginx 1.29.8 iz projekta freenginx prenesena je direktiva max_headers, koja po zadanoj postavci omogućava obradu ne više od 1000 zaglavlja. U Envoy ispravka
je uključena u izdanja 1.35.11 i 1.36.7, u kojima su implementirani limit mutable_max_request_headers_kb i max_headers_count. U Apache httpd ispravka je predložena u izdanju mod_http2 2.0.41, koje još nije ušlo u izdanja Apache httpd. Za
Microsoft IIS i Cloudflare Pingora ispravke za sada nedostaju.
Kao zaobilazno rješenje, zaštitu je moguće postići onemogućavanjem uporabe protokola HTTP/2 i postavljanjem ograničenja na veličinu memorije dostupne za radne procese.
Izvor: opennet.ru
