HTTP/2 Bomb - CVE-2026-49975

إثبات مفهوم (PoC) لهجوم حجب الخدمة (DoS) يستهدف خوادم HTTP/2. من خلال الجمع بين تضخيم HPACK والاحتفاظ بالتدفقات (streams)، يمكن لجهاز واحد ذي اتصال شبكة متواضع أن يجعل الخادم المستهدف غير متاح في غضون ثوانٍ.

الثغرة

• CVE: CVE-2026-49975
• العنوان: Apache HTTP Server: رفض الخدمة في mod_http2
• الوصف الرسمي: تسمح ثغرة تخصيص ذاكرة بحجم مفرط (CWE-789) في وحدة mod_http2 الخاصة بـ Apache HTTP Server بتنفيذ هجوم حجب خدمة عبر طلبات HTTP مصممة خصيصًا.
• الإصدارات المتأثرة: Apache HTTP Server من 2.4.17 حتى 2.4.67.
• الأثر: يجمع الهجوم بين تضخيم HPACK والاحتفاظ بالاتصالات بأسلوب Slowloris لاستنزاف ذاكرة الخادم وموارده بسرعة. قد يكفي مهاجم واحد باتصال 100 ميجابت/ثانية لإغراق خادم مستهدف معرض للثغرة.
• الاكتشاف: Quang Luong (Calif.IO) بالتعاون مع OpenAI Codex.

نظرة عامة على الهجوم

يسير الاستغلال عبر عدة مراحل، كما توضحها سجلات التنفيذ:

1. إنشاء اتصال TCP/TLS
   يتم فتح اتصالات TCP/TLS متزامنة متعددة إلى الخادم المستهدف.

2. تفاوض HTTP/2
   يكتشف العميل الحد الأقصى لعدد التدفقات المتزامنة التي يسمح بها الخادم (عادةً 100 أو 128).

3. تهيئة HPACK
   يتم إرسال ترويسات HTTP مصممة بعناية لإجبار الخادم على تخصيص جداول ضغط HPACK كبيرة بشكل مفرط، مما يزيد استهلاك الذاكرة بسرعة.

4. الاحتفاظ بالاتصال
   بمجرد فتح التدفقات، تظل الاتصالات حية إلى أجل غير مسمى، مما يمنع تحرير الذاكرة المخصصة ويستنزف في النهاية ذاكرة الوصول العشوائي المتاحة للخادم.

نتائج الاختبار والسلوك الملاحَظ

تم إجراء الاختبارات على عدة خوادم ويب باستخدام إعداداتها الافتراضية.

الأخطاء الشائعة

h2.exceptions.TooManyStreamsError

يحدث عندما تتجاوز القيمة الممررة إلى --streams الحد الأقصى للتدفقات المتزامنة التي يدعمها الخادم.

الحل: افحص حد تدفقات الخادم قبل بدء الهجوم.

NameError: name 'SettingsAcknowledued' is not defined

خطأ كتابي بسيط في الكود المصدري لإثبات المفهوم.

الحل: استبدل:

SettingsAcknowledued

بـ:

SettingsAcknowledged

[SSL] unknown error

يشير عادةً إلى أن الهدف لا يدعم HTTP/2 عبر TLS أو يرفض الاتصالات الواردة.

EOF occurred in violation of protocol

أغلق الخادم البعيد الاتصال بشكل غير متوقع.

يحدث هذا غالبًا عندما يبدأ الخادم في استنفاد موارده ويرفض الاتصالات الجديدة.

Invalid input ConnectionInputs.SEND_HEADERS

أغلق الخادم اتصال HTTP/2 قبل اكتمال إرسال جميع ترويسات الطلب.

الاستخدام

تم تنفيذ إثبات المفهوم كبرنامج نصي بلغة بايثون.

التثبيت

git clone https://github.com/califio/http2-bomb.git
cd http2-bomb
python3 -m venv venv
source venv/bin/activate
pip install -r requirements.txt

أوامر مثال

هجوم أساسي باستخدام 10 اتصالات و100 تدفق:

python bomb.py example.com --streams 100 --connections 10

(يتطلب أن يسمح الهدف بما لا يقل عن 100 تدفق متزامن لكل اتصال.)

اكتشاف تلقائي لحد التدفقات:

python bomb.py example.com --connections 10

هجوم واسع النطاق:

python bomb.py target.example.com --connections 50

اختبار اتصالات عالية الحجم:

python h2bomb.py -t target.example.com:443 -c 1000

اختبار اتصالات واسع النطاق جدًا:

python h2bomb.py -t example.com -c 20000

شكر وتقدير

• البحث الأصلي عن الثغرة : Quang Luong (Calif.IO)
• التعاون: OpenAI Codex

إخلاء مسؤولية قانوني

يُقدَّم هذا البرنامج حصريًا لأغراض البحث الأمني والتعليم واختبار الأنظمة التي لديك تفويض صريح لاختبارها.

قد يشكل الاستخدام غير المصرح به لهذه الأداة ضد أنظمة لا تملكها أو لا تملك إذنًا لاختبارها انتهاكًا للقوانين واللوائح المعمول بها. لا يتحمل المؤلفون والمساهمون أي مسؤولية عن أي إساءة استخدام أو ضرر ناتج عن استخدام هذا البرنامج.