CVE-2026-49975-HTTP-2-Bomb

أداة فرز (وليست استغلالًا) لتحديد أسطح الهجوم المعرّضة لـ CVE-2026-49975 — "HTTP/2 Bomb".

⚠️ لا يرسل هذا البرنامج النصي أي حمولات هجومية. فهو يكتفي بإجراء طلبات HTTP عادية ويحلل ترويسات الاستجابة لتحديد المضيفين الذين يستحقون تحققًا يدويًا من الإصدار/التصحيح.

حول CVE-2026-49975

تم الإعلان عنها في 3 يونيو 2026، وتمثل "HTTP/2 Bomb" ثغرة DoS عن بُعد دون مصادقة تجمع بين قنبلة ضغط HPACK وإمساك بأسلوب Slowloris لاستنزاف ذاكرة الخادم. وهي تؤثر على الإعدادات الافتراضية لبروتوكول HTTP/2 في nginx وApache httpd وMicrosoft IIS وEnvoy وCloudflare Pingora.

كما تشير النشرات الاستشارية، فإن مجرد السؤال "هل يدعم المضيف HTTP/2؟" هو سؤال واسع جدًا — فالتعرض الفعلي يعتمد على التنفيذ والإصدار المستخدمين. لهذا السبب يحدد هذا البرنامج النصي برنامج الخادم ويصنف النتيجة إلى مستويات انتباه، دون ادعاء الاستغلال.

الميزات

• 🏴 شعار ASCII ومساعدة كاملة (-h)
• 🧵 تعدد خيوط عبر سيمافور FIFO (يُتحكم بالتزامن عبر -t)
• 🔒 إخراج ذرّي عبر الخيوط (بدون أسطر متداخلة، عبر flock)
• 📄 إدخال عبر مضيف واحد، أو ملف (-f)، أو الإدخال القياسي (-f -)
• 🔍 كشف البرنامج/الإصدار عبر ترويسة Server
• 🎯 كشف موثوق لـ HTTP/2 عبر %{http_version} من curl
• 📊 تصدير CSV (-o)
• 🎨 إخراج ملون (يمكن تعطيله بـ --no-color)

المتطلبات

• bash 4+
• curl (مع دعم HTTP/2)
• flock (اختياري، موصى به — util-linux)

التثبيت

chmod +x detect_http2_bomb.sh

الاستخدام

# Single host
./detect_http2_bomb.sh example.com

# Host list with 30 threads and CSV output
./detect_http2_bomb.sh -f hosts.txt -t 30 -o results.csv

# Reading hosts from stdin
cat hosts.txt | ./detect_http2_bomb.sh -f -

الخيارات

النتائج

تنسيق CSV

host,server,verdict,status
example.com,"nginx",FLAG,"HTTP/2 active + nginx"

مرجع الإصدارات المُصححة

فحص الإصدار في هذا البرنامج النصي إعلامي فقط. تحقق دائمًا من النشرة الاستشارية الرسمية للبائع.

إشعار قانوني

استخدم الأداة فقط ضد أهداف مصرّح بها — بنيتك التحتية الخاصة، أو برامج مكافآت الثغرات، أو اختبارات الاختراق المتعاقد عليها. قد يكون استخدامها ضد أنظمة دون إذن غير قانوني. المؤلف غير مسؤول عن سوء الاستخدام.

المؤلف: Renzi