CVE-2026-49975-HTTP-2-Bomb

Un outil de tri (pas d'exploitation) pour identifier les surfaces d'attaque exposées à CVE-2026-49975 — "Bombe HTTP/2".

⚠️ Ce script n'envoie pas de charges d'attaque. Il effectue uniquement des requêtes HTTP normales et analyse les en-têtes de réponse pour signaler les hôtes qui nécessitent une vérification manuelle des versions/patchs.

À propos de CVE-2026-49975

Divulguée le 3 juin 2026, la « Bombe HTTP/2 » est un DoS distant non authentifié qui combine une bombe de compression HPACK avec une tenue de style Slowloris pour épuiser la mémoire du serveur. Elle affecte les configurations HTTP/2 par défaut de nginx, Apache httpd, Microsoft IIS, Envoy et Cloudflare Pingora.

Comme le notent les avis, demander simplement « l'hôte supporte-t-il HTTP/2 ? » est trop large — l'exposition réelle dépend de l'implémentation et de la version utilisée. C'est pourquoi ce script identifie le logiciel serveur et classe le résultat en niveaux d'attention, sans prétendre à l'exploitation.

Fonctionnalités

• 🏴 Bannière ASCII et aide complète (-h)
• 🧵 Multithreading via sémaphore FIFO (concurrence contrôlée par -t)
• 🔒 Sortie atomique entre les threads (pas de lignes entrelacées, via flock)
• 📄 Entrée par hôte unique, fichier (-f) ou stdin (-f -)
• 🔍 Détection du logiciel/version via l'en-tête Server
• 🎯 Détection fiable HTTP/2 via %{http_version} de curl
• 📊 Export CSV (-o)
• 🎨 Sortie colorée (peut être désactivée avec --no-color)

Prérequis

• bash 4+
• curl (avec support HTTP/2)
• flock (optionnel, recommandé — util-linux)

Installation

chmod +x detect_http2_bomb.sh

Utilisation

# Hôte unique
./detect_http2_bomb.sh example.com

# Liste d'hôtes avec 30 threads et sortie CSV
./detect_http2_bomb.sh -f hosts.txt -t 30 -o results.csv

# Lecture d'hôtes depuis stdin
cat hosts.txt | ./detect_http2_bomb.sh -f -

Options

Verdicts

Format CSV

host,server,verdict,status
example.com,"nginx",FLAG,"HTTP/2 actif + nginx"

Référence des versions corrigées

La vérification de version de ce script est à titre informatif uniquement. Toujours confirmer auprès de l'avis officiel du fournisseur.

Avis légal

Utiliser uniquement sur des cibles autorisées — votre propre infrastructure, programmes de bug bounty ou tests d'intrusion contractuels. L'utilisation sur des systèmes sans autorisation peut être illégale. L'auteur n'est pas responsable d'une mauvaise utilisation.

Auteur : Renzi