HTTP/2 Bomb: HPACK Indexed-Reference Amplification Chain Attack

Un approfondimento tecnico indipendente di uno studente delle superiori
Giugno 2026

TL;DR

Questo repository contiene la mia analisi completa della vulnerabilità HTTP/2 Bomb (CVE-2026-49975 / CVE-2026-47774), che combina due primitive HTTP/2 risalenti a due decenni fa:

• Amplificazione di riferimento indicizzato HPACK – invio di migliaia di riferimenti a un singolo byte verso una voce di tabella dinamica quasi vuota
• Stallo della finestra di flow-control – finestra iniziale zero + WINDOW_UPDATE periodico di 1 byte per bloccare la memoria per sempre

Risultato: un singolo client da 100 Mbps può esaurire 32 GB di memoria del server in appena 10 secondi.

🧠 Come ci sono arrivato

Tutto è iniziato mentre scorrevo senza meta Bilibili (la YouTube cinese). Un canale tech ha menzionato brevemente "un nuovo attacco HTTP/2 che abbatte i principali web server." Nessun dettaglio, solo il titolo.

Questo ha catturato il mio cervello. Ho messo in pausa il video, ho aperto il link della divulgazione e sono caduto in una tana di coniglio. Un articolo ha portato a cinque CVE, che hanno portato alle RFC, che hanno portato al codice sorgente. Non mi sono fermato finché non ho capito esattamente perché un singolo byte sul filo potesse bloccare 59 byte di memoria – e perché nessuno avesse mai combinato i due trucchi prima.

Quindi questo repo non è solo un riassunto. È il mio completo e intransigente approfondimento, scritto da zero in LaTeX. Nessun insegnante me l'ha chiesto. Semplicemente non riuscivo a lasciarlo andare.