Bola zverejnená informácia o zraniteľnosti "HTTP/2 Bomb", ktorá ovplyvňuje rôzne implementácie protokolu HTTP/2 a umožňuje dosiahnuť odmietnutie služby prostredníctvom vyčerpanía všetkej dostupnej pamäte procesu. Prítomnosť problému bola potvrdená na HTTP serveroch nginx, Apache httpd (CVE-2026-49975), Microsoft IIS, Envoy (CVE-2026-47774) a Cloudflare Pingora v predvolenom nastavení.
Zraniteľnosť používa metódu pripomínajúcu zip bombu, ktorá sa aplikuje na funkcie kompresie hlavičiek v HTTP/2. Myšlienkou je, že požiadavka môže obsahovať tisíce komprimovaných hlavičiek, ako je „Cookie“, bez pripojených údajov, pričom každá z nich je v požiadavke zastúpená jedným bajtom v indexe HPACK, ale na serveri vyžaduje plné vyčlenenie pamäte pre celú hlavičku. Úroveň využívania pamäte sa medzi rôznymi HTTP servermi líši od približne 70 bajtov na každý bajt v indexe pre nginx, IIS a Pingora, po 4000 bajtov v Apache httpd a 5700 v Envoy. Pri útoku z užívateľského počítača s 100Mbps pripojením trvá vyčerpanie 32 GB pamäte približne 10 sekúnd pri útoku na server Envoy 1.37.2, 18 sekúnd — Apache httpd 2.4.67 a 45 sekúnd — nginx 1.29.7.
Na zablokovanie zraniteľnosti sa v vydaní nginx 1.29.8 z projektu freenginx preniesla direktíva max_headers, ktorá vo vabírom nastavení povoľuje spracovanie nie viac ako 1000 hlavičiek. Oprava v Envoy
je zahrnutá v vydaniach 1.35.11 a 1.36.7, kde sú zavedené limity mutable_max_request_headers_kb a max_headers_count. V Apache httpd bola oprava navrhnutá vo vydaní modulu mod_http2 2.0.41, ktorý ešte nebol zahrnutý do vydaní Apache httpd. Pre
Microsoft IIS a Cloudflare Pingora zatiaľ chýbajú opravy.
Ako obchádzajúce opatrenie na ochranu môžete vypnúť používanie protokolu HTTP/2 a nastaviť limit na veľkosť pamäte dostupnej pre pracovné procesy.
Zdroj: opennet.ru
