No início de junho de 2026, pesquisadores de cibersegurança da empresa Calif (com a ajuda do agente de IA Codex) descobriram uma nova variante do ataque HTTP/2 Bomb, que funciona mesmo a partir de um único dispositivo cliente com uma conexão de internet de 100 Mbps.
O ataque consiste em duas etapas:
Manipulação da compressão HPACK: No protocolo HTTP/2, cabeçalhos são comprimidos usando uma tabela HPACK. O atacante envia um cabeçalho quase vazio, mas com centenas de milhares de instruções faz com que servidor descompacte e faça referência constantemente a um mesmo elemento minúsculo. Isso provoca um consumo de memória em cascata. servidor.
Bloqueio do controle de fluxo: Após a memória ser preenchida, o invasor define o tamanho da janela de controle de fluxo (flow-control window) como 0. Isso faz com que o servidor pause o envio de respostas, mantendo a memória ocupada e mantendo a conexão aberta com solicitações periódicas de 1 byte.
Apenas um cliente pode consumir de 32 a 64 GB de memória em 10 a 20 segundos. O nível de consumo de memória em diferentes servidores HTTP varia de cerca de 70 bytes para cada byte no índice para nginx, IIS e Pingora, até 4000 bytes no Apache httpd e 5700 no Envoy.
Praticamente todas as principais implementações de servidores HTTP/2 em configurações padrão são vulneráveis:
NGINX, Apache HTTPD (módulo mod_http2), Microsoft IIS, Envoy, Cloudflare, Pingora
A vulnerabilidade foi corrigida no nginx 1.29.8 (com a diretiva max_headers do freenginx, que por padrão permite processar não mais que 1000 cabeçalhos), Envoy 1.35.11 e 1.36.7 (mutable_max_request_headers_kb e max_headers_count), Appache mod_http2 2.0.41. Para Microsoft IIS e Cloudflare Pingora, ainda não há correções.
O servidor HTTP Angie não é vulnerável, pois implementou proteção contra esse tipo de ataque já na versão 1.8.0, lançada em 2024.
Fonte: linux.org.ru
