Na začiatku júna 2026 objavili výskumníci v oblasti kybernetickej bezpečnosti z firmy Calif (s pomocou AI agenta Codex) novú variantu útoku HTTP/2 Bomb, ktorý funguje aj z jedného klientského zariadenia s internetovým pripojením s rýchlosťou 100 Mbit/s.
Útok sa skladá z dvoch fáz:
Manipulácia so zmršťovaním HPACK: V protokole HTTP/2 sa hlavičky zmršťujú pomocou tabuľky HPACK. Útočník posiela takmer prázdnu hlavičku, ale pomocou stoviek tisíc pokynov núti server rozbaliť a neustále odkazovať na jeden a ten istý drobný prvok. To spôsobuje lavínový únik pamäte. servera.
Blokovanie riadenia toku (Flow Control): Po naplnení pamäte útočník nastaví veľkosť ovládacieho okna toku (flow-control window) na 0. To núti server pozastaviť odosielanie odpovede, čím uchováva zaplnenú pamäť, a udržuje spojenie otvorené periodickými 1-bajtovými požiadavkami.
Len jeden klient dokáže za 10–20 sekúnd minúť až 32–64 GB operačnej pamäte. Úroveň spotreby pamäte v rôznych HTTP serveroch sa pohybuje od približne 70 bajtov na každý bajt v indexe pre nginx, IIS a Pingora, až po 4000 bajtov v Apache httpd a 5700 v Envoy.
Zraniteľnosti sú vystavené prakticky všetkým hlavným serverovým implementáciám HTTP/2 v predvolených konfiguráciách:
NGINX, Apache HTTPD (modul mod_http2), Microsoft IIS, Envoy, Cloudflare, Pingora.
Zraniteľnosť bola opravená v nginx 1.29.8 (s pomocou direktívy max_headers z freenginx, ktorá predvolene povoľuje spracovanie nie viac ako 1000 hlavičiek), Envoy 1.35.11 a 1.36.7 (mutable_max_request_headers_kb a max_headers_count), Appache mod_http2 2.0.41. Opravy pre Microsoft IIS a Cloudflare Pingora zatiaľ nie sú k dispozícii.
HTTP server Angie nie je vystavený zraniteľnosti, pretože implementoval ochranu proti takýmto útokom už vo verzii 1.8.0, ktorá vyšla v roku 2024.
Zdroj: linux.org.ru
