obrige/http2-bombCVE-2026-49975 تضخيم تدفقات HTTP/2 — PoC لـ Docker مع وحدة تحكم ويب
HTTP/2 تضخيم التدفقات · إثبات المفهوم · Docker · وحدة تحكم ويب
يتيح HTTP/2 تعدد الإرسال (multiplexing) لعدة تدفقات عبر اتصال TCP واحد. يصوغ هذا الإثبات (PoC) إطارات HEADERS مُشكَّلة خصيصًا تحتوي على عدد كبير من المراجع الداخلية، مما يُجبر الخادم على تخصيص كميات هائلة من الذاكرة لتتبعها.
| الخادم | التضخيم | التأثير |
|---|---|---|
| Envoy 1.37.2 | ~5,700:1 | ~32 غيغابايت في ~10 ثوانٍ |
| Apache httpd 2.4.67 | ~4,000:1 | ~32 غيغابايت في ~18 ثانية |
| Nginx | مرتفع | نفاد سريع للذاكرة (OOM) |
أقل حركة مرور، وأقصى استنزاف للذاكرة.
git clone https://github.com/obrige/http2-bomb.git
cd http2-bomb
docker compose up -d
يستخدم صورة مُبنية مسبقًا من
ghcr.io/obrige/http2-bomb:latest. لا حاجة إلى بناء محلي.
pip install -r requirements.txt
uvicorn app.main:app --host 0.0.0.0 --port 8080
docker pull ghcr.io/obrige/http2-bomb:latest
docker run -d -p 8080:8080 ghcr.io/obrige/http2-bomb:latest
لأغراض اختبار الأمان المصرح به والبحث التعليمي فقط. لا تستخدمه ضد أي أهداف دون إذن كتابي صريح. يتحمل المستخدمون كامل المسؤولية القانونية.