All'inizio di giugno 2026, i ricercatori di cybersicurezza della società Calif (con l'aiuto dell'agente IA Codex) hanno scoperto una nuova variante dell'attacco HTTP/2 Bomb, che funziona anche con un singolo dispositivo client con una connessione internet di 100 Mbps.
L'attacco si compone di due fasi:
Manipolazione della compressione HPACK: Nel protocollo HTTP/2, gli header vengono compressi utilizzando una tabella HPACK. L'attaccante invia un header quasi vuoto, ma con centinaia di migliaia di istruzioni costringe server a estrarre e fare riferimento continuamente allo stesso minuscolo elemento. Questo causa un consumo di memoria a valanga server.
Blocco del controllo del flusso: Dopo che la memoria è piena, l'aggressore imposta la dimensione della finestra di controllo del flusso a 0. Questo costringe il server a sospendere l'invio della risposta, mantenendo la memoria occupata e tenendo la connessione aperta con periodici richieste di 1 byte.
Un singolo client può esaurire fino a 32-64 GB di RAM in 10-20 secondi. Il livello di consumo di memoria varia tra i diversi server HTTP, da circa 70 byte per ogni byte nell'indice per nginx, IIS e Pingora, fino a 4000 byte in Apache httpd e 5700 in Envoy.
Quasi tutte le principali implementazioni server di HTTP/2 in configurazioni predefinite sono vulnerabili:
NGINX, Apache HTTPD (modulo mod_http2), Microsoft IIS, Envoy, Cloudflare, Pingora
La vulnerabilità è stata corretta in nginx 1.29.8 (con la direttiva max_headers di freenginx, che per impostazione predefinita consente l'elaborazione di non più di 1000 header), Envoy 1.35.11 e 1.36.7 (mutable_max_request_headers_kb e max_headers_count), Appache mod_http2 2.0.41. Per Microsoft IIS e Cloudflare Pingora non ci sono ancora correzioni.
Il server HTTP Angie non è vulnerabile, poiché ha implementato una protezione contro questo tipo di attacchi già nella versione 1.8.0, rilasciata nel 2024.
Fonte: linux.org.ru
