HTTP/2 बम: HPACK अनुक्रमणिका-संदर्भ प्रवर्धन श्रृंखला हमला

एक हाई स्कूल छात्र का स्वतंत्र तकनीकी गहन अध्ययन
जून 2026

TL;DR

यह रिपॉजिटरी HTTP/2 बम भेद्यता (CVE-2026-49975 / CVE-2026-47774) का मेरा पूर्ण विश्लेषण है, जो दो दशक पुराने HTTP/2 प्राथमिकताओं को श्रृंखलित करता है:

• HPACK अनुक्रमणिका-संदर्भ प्रवर्धन – एक लगभग-खाली गतिशील तालिका प्रविष्टि पर हजारों एक-बाइट संदर्भ भेजना
• प्रवाह-नियंत्रण विंडो स्टॉल – शून्य प्रारंभिक विंडो + स्मृति को स्थायी रूप से पिन करने के लिए समय-समय पर 1-बाइट WINDOW_UPDATE

परिणाम: एक एकल 100 एमबीपीएस क्लाइंट 10 सेकंड में 32 जीबी सर्वर मेमोरी समाप्त कर सकता है।

🧠 मैं इसमें कैसे पहुंचा

यह सब तब शुरू हुआ जब मैं Bilibili (चीन का YouTube) पर डूम-स्क्रॉल कर रहा था। एक तकनीकी चैनल ने संक्षेप में उल्लेख किया “एक नया HTTP/2 हमला जो प्रमुख वेब सर्वरों को नीचे लाता है।” कोई विवरण नहीं, सिर्फ शीर्षक।

इसने मेरे दिमाग को पकड़ लिया। मैंने वीडियो रोका, प्रकटीकरण लिंक खोला, और एक खरगोश के बिल में गिर गया। एक पेपर ने पांच CVEs, फिर RFCs, फिर स्रोत कोड तक ले गया। मैं तब तक नहीं रुका जब तक मैं पूरी तरह से नहीं समझ गया कि वायर पर एक एकल बाइट 59 बाइट मेमोरी को क्यों पिन कर सकती है – और क्यों किसी ने पहले दो चालों को श्रृंखलित नहीं किया था।

तो यह रिपॉजिटरी सिर्फ एक सारांश नहीं है। यह मेरा पूर्ण, असम्प्रतिष्ठित गहन अध्ययन है, जो LaTeX में शुरू से लिखा गया है। किसी शिक्षक ने मुझे ऐसा करने के लिए नहीं कहा। मैं बस इसे जाने नहीं दे सका।

प्रभाव