HTTP/2 Bomb — CVE-2026-49975

PoC d'amplification de flux HTTP/2 · Docker · Console Web

Vulnérabilité

HTTP/2 permet de multiplexer plusieurs flux sur une seule connexion TCP. Ce PoC forge des trames HEADERS spécialement conçues contenant un grand nombre de références internes, forçant le serveur à allouer d'importantes quantités de mémoire pour les suivre.

Serveur	Amplification	Effet
Envoy 1.37.2	~5,700:1	~32 Go en ~10 s
Apache httpd 2.4.67	~4,000:1	~32 Go en ~18 s
Nginx	Élevée	OOM rapide

Trafic minimal, épuisement maximal de la mémoire.

Démarrage rapide

git clone https://github.com/obrige/http2-bomb.git
cd http2-bomb
docker compose up -d

Ouvrez http://localhost:8080

Utilise l'image préconstruite depuis ghcr.io/obrige/http2-bomb:latest. Aucune construction locale requise.

Manuel

pip install -r requirements.txt
uvicorn app.main:app --host 0.0.0.0 --port 8080

Récupérer l'image directement

docker pull ghcr.io/obrige/http2-bomb:latest
docker run -d -p 8080:8080 ghcr.io/obrige/http2-bomb:latest

Fonctionnalités

Console Web avec surveillance en temps réel
Détection HTTP/2 en un clic
Paramètres d'attaque configurables
Flux de logs en temps réel SSE
Déploiement Docker en un clic
Publication automatique CI/CD vers GHCR

Avertissement

Réservé aux tests de sécurité autorisés et à la recherche pédagogique uniquement. N'utilisez pas cet outil contre des cibles sans autorisation écrite explicite. Les utilisateurs assument l'entière responsabilité légale.

http2-bomb

Populaires