Početkom lipnja 2026. godine, istraživači kibernetičke sigurnosti iz tvrtke Calif (uz pomoć AI agenta Codex) otkrili su novu varijantu napada HTTP/2 Bomb, koja djeluje čak i s jednog klijentskog uređaja s internetskom vezom brzinom od 100 Mb/s.
Napad se sastoji od dva koraka:
Manipulacija kompresijom HPACK: U protokolu HTTP/2, zaglavlja se komprimiraju pomoću HPACK tablice. Napadač šalje gotovo prazno zaglavlje, ali uz pomoć stotina tisuća instrukcija prisiljava server raspakiranje i stalno upućivanje na isti sitni element. To uzrokuje lavinski trošak memorije poslužitelja.
Blokiranje kontrolnog toka (Flow Control): Nakon što se memorija napuni, napadač postavlja veličinu prozora kontrole toka (flow-control window) na 0. To prisiljava poslužitelj da zaustavi slanje odgovora, zadržavajući zauzetu memoriju, i održava vezu otvorenom povremenim 1-bajtnim upitima.
Samo jedan klijent može potrošiti do 32–64 GB radne memorije u razdoblju od 10–20 sekundi. Razina potrošnje memorije varira među različitim HTTP poslužiteljima, od otprilike 70 bajtova po svakom bajtu u indeksu za nginx, IIS i Pingora, do 4000 bajtova u Apache httpd i 5700 u Envoy.
Ranljivosti su podložne praktički svim glavnim implementacijama HTTP/2 u zadanim konfiguracijama:
NGINX, Apache HTTPD (modul mod_http2), Microsoft IIS, Envoy, Cloudflare, Pingora
Ranljivost je ispravljena u nginx 1.29.8 (uz pomoć direktive max_headers iz freenginx, prema zadanim postavkama dopušta obradu najviše 1000 zaglavlja), Envoy 1.35.11 i 1.36.7 (mutable_max_request_headers_kb i max_headers_count), Apache mod_http2 2.0.41. Za Microsoft IIS i Cloudflare Pingora još nema ispravaka.
HTTP poslužitelj Angie nije podložan ranjivosti, jer je implementirao zaštitu od takvih napada još u verziji 1.8.0, koja je objavljena 2024. godine.
Izvor: linux.org.ru
