È stata rivelata un'informazione sulla vulnerabilità «HTTP/2 Bomb», che colpisce diverse implementazioni del protocollo HTTP/2 e consente di ottenere un'interruzione del servizio attraverso il consumo della memoria disponibile per il processo. La presenza del problema è confermata nei server HTTP nginx, Apache httpd (CVE-2026-49975), Microsoft IIS, Envoy (CVE-2026-47774) e Cloudflare Pingora nella configurazione predefinita.
La vulnerabilità utilizza un metodo simile a una bomba zip, applicata alla funzionalità di compressione degli header in HTTP/2. L'idea è che una richiesta può contenere migliaia di header compressi, come «Cookie», senza dati allegati, ognuno dei quali è rappresentato nella richiesta da un riferimento monobito nell'indice HPACK, ma richiede un'assegnazione di memoria completa per l'intero header. server Il livello di consumo di memoria varia tra i diversi server HTTP, da circa 70 byte per ogni byte nell'indice per nginx, IIS e Pingora, a 4000 byte in Apache httpd e 5700 in Envoy. In un attacco da un computer cliente con una connessione di 100Mbps, per esaurire 32 GB di memoria sono necessari circa 10 secondi attaccando con Envoy 1.37.2, 18 secondi con Apache httpd 2.4.67 e 45 secondi con nginx 1.29.7. server Per bloccare la vulnerabilità, nella release nginx 1.29.8 è stata trasferita la direttiva max_headers dal progetto freenginx, che per impostazione predefinita consente di elaborare non più di 1000 header. In Envoy, la correzione
è inclusa nelle release 1.35.11 e 1.36.7, in cui sono stati implementati i limiti mutable_max_request_headers_kb e max_headers_count. In Apache httpd, la correzione è proposta nella release del modulo mod_http2 2.0.41, che non è ancora stata inclusa nelle release di Apache httpd. Per
Microsoft IIS e Cloudflare Pingora, le correzioni sono attualmente assenti.
Come soluzione alternativa per la protezione, è possibile disattivare l'uso del protocollo HTTP/2 e impostare un limite sulla dimensione della memoria disponibile per i processi.
È stata rivelata un'informazione sulla vulnerabilità "HTTP/2 Bomb", che colpisce diverse implementazioni del protocollo HTTP/2 e consente di ottenere un'interruzione del servizio attraverso il consumo della memoria disponibile per il processo.
Fonte: opennet.ru
