HTTP/2 Bomb - CVE-2026-49975

Ein Denial-of-Service (DoS)-Proof-of-Concept, das auf HTTP/2-Server abzielt. Durch die Kombination von HPACK-Verstärkung mit Stream-Retention kann ein einzelner Rechner mit einer bescheidenen Netzwerkverbindung einen anfälligen Server innerhalb von Sekunden unerreichbar machen.

Schwachstelle

• CVE: CVE-2026-49975
• Titel: Apache HTTP Server: mod_http2 Denial of Service
• Offizielle Beschreibung: Eine Speicherallokation mit übermäßiger Größe (CWE-789) im Modul mod_http2 des Apache HTTP Server ermöglicht einen Denial-of-Service-Angriff durch speziell präparierte HTTP-Anfragen.
• Betroffene Versionen: Apache HTTP Server 2.4.17 bis 2.4.67.
• Auswirkung: Der Angriff kombiniert HPACK-Verstärkung mit Slowloris-artiger Verbindungshaltung, um schnell den Serverspeicher und die Ressourcen zu erschöpfen. Ein einzelner Angreifer mit einer 100-Mbps-Verbindung könnte ausreichen, um einen anfälligen Server zu überwältigen.
• Entdeckung: Quang Luong (Calif.IO) in Zusammenarbeit mit OpenAI Codex.

Angriffsübersicht

Der Exploit durchläuft mehrere Phasen, wie aus den Ausführungslogs ersichtlich:

1. TCP/TLS-Verbindungsaufbau
   Es werden mehrere gleichzeitige TCP/TLS-Verbindungen zum Zielserver geöffnet.

2. HTTP/2-Aushandlung
   Der Client erkennt die maximale Anzahl gleichzeitiger Streams, die der Server zulässt (normalerweise 100 oder 128).

3. HPACK-Vorbereitung
   Sorgfältig präparierte HTTP-Header werden gesendet, um den Server zu zwingen, übermäßig große HPACK-Kompressionstabellen zu allokieren, was den Speicherverbrauch schnell erhöht.

4. Verbindungshaltung
   Sobald die Streams geöffnet sind, bleiben die Verbindungen unbegrenzt aktiv, wodurch verhindert wird, dass der allokierte Speicher freigegeben wird, und der verfügbare RAM des Servers schließlich erschöpft wird.

Testergebnisse und beobachtetes Verhalten

Die Tests wurden gegen mehrere Webserver mit ihren Standardkonfigurationen durchgeführt.

Häufige Fehler

h2.exceptions.TooManyStreamsError

Tritt auf, wenn der an --streams übergebene Wert die maximale Anzahl gleichzeitiger Streams überschreitet, die der Server unterstützt.

Lösung: Das Stream-Limit des Servers vor dem Start des Angriffs abfragen.

NameError: name 'SettingsAcknowledued' is not defined

Ein einfacher Tippfehler im Quellcode des PoC.

Lösung: Ersetze:

SettingsAcknowledued

mit:

SettingsAcknowledged

[SSL] unknown error

Weist in der Regel darauf hin, dass das Ziel HTTP/2 über TLS nicht unterstützt oder eingehende Verbindungen ablehnt.

EOF occurred in violation of protocol

Der entfernte Server hat die Verbindung unerwartet geschlossen.

Dies tritt häufig auf, wenn auf dem Server die Ressourcen zur Neige gehen und er beginnt, neue Verbindungen abzulehnen.

Invalid input ConnectionInputs.SEND_HEADERS

Der Server hat die HTTP/2-Verbindung geschlossen, bevor alle Anforderungsheader übertragen werden konnten.

Verwendung

Der Proof-of-Concept ist als Python-Skript implementiert.

Installation

git clone https://github.com/califio/http2-bomb.git
cd http2-bomb
python3 -m venv venv
source venv/bin/activate
pip install -r requirements.txt

Beispielbefehle

Einfacher Angriff mit 10 Verbindungen und 100 Streams:

python bomb.py example.com --streams 100 --connections 10

(Erfordert, dass das Ziel mindestens 100 gleichzeitige Streams pro Verbindung zulässt.)

Automatische Erkennung des Stream-Limits:

python bomb.py example.com --connections 10

Großflächiger Angriff:

python bomb.py target.example.com --connections 50

Hochvolumiger Verbindungstest:

python h2bomb.py -t target.example.com:443 -c 1000

Sehr großflächiger Verbindungstest:

python h2bomb.py -t example.com -c 20000

Danksagungen

• Ursprüngliche Schwachstellenforschung: Quang Luong (Calif.IO)
• Zusammenarbeit: OpenAI Codex

Rechtlicher Hinweis

Diese Software wird ausschließlich für Sicherheitsforschung, Bildungszwecke und das Testen von Systemen bereitgestellt, für die Sie ausdrücklich autorisiert sind.

Die unbefugte Nutzung dieses Tools gegen Systeme, die Sie nicht besitzen oder für die Sie keine Testberechtigung haben, kann gegen geltende Gesetze und Vorschriften verstoßen. Die Autoren und Mitwirkenden übernehmen keine Verantwortung für Missbrauch oder Schäden, die durch die Verwendung dieser Software entstehen.