2026 június elején a Calif cég kiberbiztonsági kutatói (a Codex mesterséges intelligencia ügynök segítségével) felfedeztek egy új változatát a HTTP/2 Bomb támadásnak, amely akár egyetlen, 100 Mbps internetkapcsolattal rendelkező kliens eszközön is működik.
A támadás két lépésből áll:
A HPACK tömörítés manipulálása: A HTTP/2 protokollban a fejlécadatokat a HPACK táblázat segítségével tömörítik. A támadó szinte üres fejlécet küld, de számos instruálással arra kényszeríti szerver a kicsi elem folyamatos kibővítésére és hivatkozására. Ez lavinaszerű memóriafogyasztást okoz. a szerver.
A folyamatirányítás blokkolása: Miután a memória megtelt, a támadó a folyamatirányító ablak (flow-control window) méretét 0-ra állítja. Ez arra kényszeríti a szervert, hogy felfüggessze a válasz küldését, így megtartva a használt memóriát, és folyamatosan fenntartva a kapcsolatot 1 byte-os kérésekkel.
Csak egy kliens 10–20 másodperc alatt akár 32–64 GB RAM-ot is elhasználhat. A memóriafogyasztás különböző HTTP-szerverek esetében kb. 70 byte-tól a nyilvántartás minden byte-jáért az nginx, IIS és Pingora esetében, akár 4000 byte-ig az Apache httpd-én és 5700 byte-ig az Envoy-on.
A sérülékenység szinte minden fő HTTP/2 server implementációt érint az alapértelmezett konfigurációkban:
NGINX, Apache HTTPD (mod_http2 modul), Microsoft IIS, Envoy, Cloudflare, Pingora
A sérülékenységet az nginx 1.29.8 verziójában javították (a freenginx max_headers utasításával, amely alapértelmezés szerint legfeljebb 1000 fejléc feldolgozását engedélyezi), az Envoy 1.35.11 és 1.36.7 verziókban (mutable_max_request_headers_kb és max_headers_count), az Apache mod_http2 2.0.41 verzióban. A Microsoft IIS és Cloudflare Pingora számára még nem állnak rendelkezésre javítások.
Az Angie HTTP-server nem érintett a sérülékenységben, mivel már 1.8.0 verziójában, amely 2024-ben jelent meg, védelmet valósított meg az ilyen típusú támadások ellen.
Forrás: linux.org.ru
