fevar54/proof-of-concept-poc---cve-2026-49975-http-2-bomb-Proof-of-Concept-Exploit für CVE-2026-49975 (HTTP/2 Bomb), eine Remote-Denial-of-Service-Schwachstelle, die große Webserver über HPACK-Bombe und Slowloris-artige Speichererschöpfung betrifft.
CVE-2026-49975, auch bekannt als HTTP/2 Bomb, ist eine Remote-Denial-of-Service-Schwachstelle (DoS), die die meisten gängigen Webserver in ihrer Standard-HTTP/2-Konfiguration betrifft.
Die Schwachstelle wurde von OpenAI Codex entdeckt, indem zwei seit einem Jahrzehnt bekannte Techniken kombiniert wurden:
| Server | Betroffene Versionen | Status |
|---|
| nginx | < 1.29.8 | ✅ Gepatcht |
| Apache httpd | < mod_http2 v2.0.41 | ✅ Gepatcht |
| Microsoft IIS | Aktuelle Versionen | ❌ Nicht gepatcht |
| Envoy | Aktuelle Versionen | ❌ Nicht gepatcht |
| Cloudflare Pingora | Aktuelle Versionen | ❌ Nicht gepatcht |
| Server | Verstärkungsfaktor | Auswirkung |
|---|---|---|
| Envoy 1.37.2 | ~5.700:1 | 32 GB in ~10s |
| Apache httpd 2.4.67 | ~4.000:1 | 32 GB in ~18s |
| nginx 1.29.7 | ~70:1 | 32 GB in ~45s |
| IIS (2025) | ~68:1 | 64 GB in ~45s |
git clone https://github.com/tenable-cve/CVE-2026-49975.git
cd CVE-2026-49975
pip install -r requirements.txt