CVE-2026-49975 - HTTP/2 Bomb अवधारणा का प्रमाण

विवरण

CVE-2026-49975, जिसे HTTP/2 Bomb के नाम से भी जाना जाता है, एक रिमोट डिनायल ऑफ सर्विस (DoS) भेद्यता है जो अपनी डिफ़ॉल्ट HTTP/2 कॉन्फ़िगरेशन में अधिकांश प्रमुख वेब सर्वरों को प्रभावित करती है।

यह भेद्यता OpenAI Codex द्वारा एक दशक से ज्ञात दो तकनीकों को मिलाकर खोजी गई थी:

HPACK Bomb: नेटवर्क पर एक बाइट सर्वर पर एक पूर्ण हेडर आवंटन में बदल जाता है
Slowloris-style hold: शून्य बाइट्स का फ्लो कंट्रोल विंडो जो मेमोरी को मुक्त होने से रोकता है

प्रभावित सर्वर

सर्वर	प्रभावित संस्करण	स्थिति
nginx	< 1.29.8	✅ पैच किया गया
Apache httpd	< mod_http2 v2.0.41	✅ पैच किया गया
Microsoft IIS	वर्तमान संस्करण	❌ बिना पैच के
Envoy	वर्तमान संस्करण	❌ बिना पैच के
Cloudflare Pingora	वर्तमान संस्करण	❌ बिना पैच के

सर्वर के अनुसार प्रवर्धन

हमलावर की आवश्यकताएँ

100 Mbps कनेक्शन वाला एक घरेलू कंप्यूटर
सेकंडों में एक कमजोर सर्वर को अनुपलब्ध करने की क्षमता
यह ज्ञान कि 880,000 से अधिक वेबसाइटें संभावित रूप से कमजोर हैं

अवधारणा का प्रमाण

स्थापना

git clone https://github.com/tenable-cve/CVE-2026-49975.git
cd CVE-2026-49975
pip install -r requirements.txt

Envoy 1.37.2	~5,700:1	32 GB लगभग 10 सेकंड में
Apache httpd 2.4.67	~4,000:1	32 GB लगभग 18 सेकंड में
nginx 1.29.7	~70:1	32 GB लगभग 45 सेकंड में
IIS (2025)	~68:1	64 GB लगभग 45 सेकंड में

Proof-of-Concept-POC---CVE-2026-49975-HTTP-2-Bomb-

सबसे लोकप्रिय