Feltárták a 'HTTP/2 Bomb' sebezhetőséget, amely különböző HTTP/2 protokollmegvalósításokat érint és lehetővé teszi a szolgáltatásmegtagadás előidézését az összes folyamatmemória kimerítésével. A probléma megerősítést nyert az nginx, Apache httpd (CVE-2026-49975), Microsoft IIS, Envoy (CVE-2026-47774) és Cloudflare Pingora alapértelmezett konfigurációiban.
A sebezhetőség egy zip-bombához hasonló módszert alkalmaz, amelyet a HTTP/2 fejléces tömörítési funkcióval szemben használnak. Az ötlet az, hogy a kérés tartalmazhat ezer tömörített fejlécet, mint például a 'Cookie', adatcsatolás nélkül, mindegyik egy bájtos hivatkozással szerepel az HPACK indexben, de szerveren teljes mértékben memóriafoglalást igényel az összes fejléc számára. A memóriafogyasztás szintje különböző HTTP-szervereknél 70 bájttól kezdődik indexenként az nginx, IIS és Pingora esetében, 4000 bájtig az Apache httpd-nál és 5700 bájtig az Envoy-nál. Egy 100 Mbps sávszélességű végponti számítógépről indított támadás során, a 32 GB memória kimerítéséhez körülbelül 10 másodpercre van szükség az szerver Envoy 1.37.2, 18 másodperc az Apache httpd 2.4.67 számára, és 45 másodperc az nginx 1.29.7 esetében.
A sebezhetőség blokkolásához az nginx 1.29.8 kiadásban a freenginx projektből átvitték a max_headers utasítást, amely alapértelmezés szerint nem engedélyezi több mint 1000 fejléc feldolgozását. Az Envoy javítása
be van építve az 1.35.11 és 1.36.7 kiadásokba, amelyekben megvalósultak a mutable_max_request_headers_kb és max_headers_count korlátok. Az Apache httpd javítását a mod_http2 2.0.41 modul kiadásában javasolják, amely még nem került be az Apache httpd kiadásokba. A
Microsoft IIS és Cloudflare Pingora esetében a javítások egyelőre hiányoznak.
Alternatív védelmi lehetőségként letiltható a HTTP/2 protokoll használata, és korlátozható a munkafolyamatok számára elérhető memória mérete.
Forrás: opennet.ru
