CVE-2026-49975 ist eine Speichererschöpfungsschwachstelle in der HTTP/2-Protokollimplementierung. Die Angriffskette umfasst zwei entscheidende Schritte:
HPACK-Komprimierungsbombe: Wiederholtes Senden desselben Headers (z.B. x-bomb: test) in einem einzelnen HTTP/2-Stream zwingt den Server, für jede Referenz eine vollständige Speicherstruktur zuzuweisen und erreicht eine Speicherverstärkung von über 4000:1.
Fensterstau: Das Setzen des initialen Flusskontrollfensters auf 0 verhindert, dass der Server Antworten sendet, wodurch der zugewiesene Speicher dauerhaft gesperrt und nicht freigegeben wird.
Zusammen können Angreifer mit nur etwa 16 KB gesendeten Daten den Server dazu bringen, über 1 MB Speicher zu verbrauchen, und innerhalb von Dutzenden von Sekunden 32 GB Speicher erschöpfen, was schließlich zu einem Dienstausfall führt.
🛠️ Werkzeugfunktionen
✅ Automatische Erkennung der HTTP/2-Unterstützung: Stellt fest, ob das Ziel h2/h2c unterstützt, mittels ALPN-Aushandlung (HTTPS) oder Verbindungspräambel (Klartext). Falls nicht unterstützt, erfolgt kein Angriff.
✅ Ein-Klick-Erkennung und -Angriff: Führt automatisch den gesamten Ablauf „Erkennung → Speicher sperren → DoS-Überlastung“ durch.
✅ Erzwungener Angriffsmodus: Überspringt die Erkennung und sendet direkt die Angriffslast (geeignet für Szenarien, in denen bekannt ist, dass das Ziel HTTP/2 unterstützt).
✅ Multi-Protokoll-Proxy-Unterstützung: Unterstützt HTTP-, HTTPS-, SOCKS4- und SOCKS5-Proxys mit konfigurierbarer Adresse und Port.
✅ Einstellbare Angriffsintensität: Legen Sie die „Wiederholungen pro Anfrage“ fest (Standard 5) und die „Anzahl der Angriffsströme“ (0 für unbegrenzten Dauerangriff).
✅ Grafische Benutzeroberfläche: Echtzeit-Logausgabe, einfache und intuitive Bedienung.
🚀 Verwendung (direktes Ausführen der Binärdatei)
1. Programm starten
Doppelklicken Sie auf CVE-2026-49975_Exploit_v2.1.exe (Windows)
oder
Führen Sie im Befehlszeilenfenster aus: CVE-2026-49975_Exploit_v2.1.exe
2. Zielinformationen eingeben
Zielhost: IP oder Domain (z.B. 192.168.1.100 oder example.com)
Port: Normalerweise 443 für HTTPS, 80 für Klartext-HTTP/2
HTTPS: Aktivieren bedeutet, dass das Ziel TLS verwendet (also h2), deaktivieren bedeutet Klartext h2c
3. (Optional) Proxy konfigurieren
Aktivieren Sie „Proxy verwenden“
Wählen Sie den Proxy-Typ (http/https/socks4/socks5)
Geben Sie die Proxy-Adresse und den Port ein
4. Angriffsparameter festlegen
Wiederholungen pro Anfrage: Es wird empfohlen, den Standardwert 5 beizubehalten
Anzahl der Angriffsströme: 0 bedeutet unbegrenzter Dauerangriff; eine positive Zahl bedeutet automatischer Stopp nach dem Senden der angegebenen Anzahl (z.B. 1000)
5. Angriff ausführen
Empfohlen: Klicken Sie auf „Erkennen und angreifen“ → Automatische Erkennung von HTTP/2 → Wenn unterstützt, beginnt der Angriff
Erzwungener Angriff: Klicken Sie auf „Erzwungener Angriff“ (überspringt die Erkennung, geeignet für Szenarien, in denen bestätigt wurde, dass das Ziel HTTP/2 unterstützt)
6. Angriff stoppen
Klicken Sie jederzeit auf die Schaltfläche „Angriff stoppen“, um den Vorgang zu beenden
7. Angriffsergebnis überprüfen
Die Speichernutzung des Zielservers steigt rasant an (beobachtbar mit htop, free -h, docker stats)
Der Webdienst reagiert schließlich nicht mehr oder stürzt ab, in den Tool-Logs erscheinen Fehler wie Connection reset by peer
⚠️ Haftungsausschluss
Dieses Tool ist ausschließlich für autorisierte Sicherheitstests bestimmt. Es darf ohne schriftliche Genehmigung des Eigentümers des Zielsystems nicht auf Produktions- oder nicht autorisierten Systemen ausgeführt werden.
Alle direkten oder indirekten Folgen (einschließlich, aber nicht beschränkt auf Dienstunterbrechung, Datenverlust, rechtliche Haftung), die durch die Nutzung dieses Tools entstehen, trägt der Benutzer selbst.
Der Autor (polar bear) und die Verteiler übernehmen keinerlei Haftung. Durch das Ausführen dieses Tools bestätigen Sie, dass Sie diese Vereinbarung gelesen haben und ihr zustimmen.
📄 Versionsgeschichte
v2.1 (2026-06-11): Behebung des UI-Einfrierens (Thread-sicheres UI-Update), verbesserte Stabilität.
v2.0 (2026-06-11): Hinzugefügt: automatische HTTP/2-Erkennung, Multi-Protokoll-Proxy-Unterstützung, Ein-Klick-Erkennung und -Angriff.
v1.0 (2026-06-10): Basis-GUI, Unterstützung für Sperr-/DoS-Modi.
lsg-polarbear/cve-2026-49975
