Bomba HTTP/2 — CVE-2026-49975

PoC de Amplificación de Streams HTTP/2 · Docker · Consola Web

Vulnerabilidad

HTTP/2 permite multiplexar múltiples streams sobre una única conexión TCP. Este PoC construye tramas HEADERS especialmente formadas que contienen un gran número de referencias internas, forzando al servidor a asignar enormes cantidades de memoria para rastrearlas.

Tráfico mínimo, agotamiento máximo de memoria.

Inicio Rápido

git clone https://github.com/obrige/http2-bomb.git
cd http2-bomb
docker compose up -d

Abre http://localhost:8080

Usa la imagen preconstruida desde ghcr.io/obrige/http2-bomb:latest. No requiere compilación local.

Manual

pip install -r requirements.txt
uvicorn app.main:app --host 0.0.0.0 --port 8080

Descargar Imagen Directamente

docker pull ghcr.io/obrige/http2-bomb:latest
docker run -d -p 8080:8080 ghcr.io/obrige/http2-bomb:latest

Características

• Consola web con monitoreo en tiempo real
• Detección de HTTP/2 con un clic
• Parámetros de ataque configurables
• Streaming de logs en tiempo real SSE
• Despliegue con un clic mediante Docker
• Publicación automática CI/CD en GHCR

Aviso Legal

Solo para pruebas de seguridad autorizadas e investigación educativa. No lo uses contra objetivos sin permiso explícito por escrito. Los usuarios asumen toda la responsabilidad legal.