CVE-2026-49975 HTTP/2 Bomb PoC

HTTP/2 リモートサービス拒否脆弱性再現ツール

脆弱性の概要

CVE-2026-49975 は、主要な Web サーバーに影響する HTTP/2 サービス拒否（DoS）脆弱性です。この脆弱性は、セキュリティ企業 Calif（OpenAI Codex を使用）によって 2026 年 6 月上旬に発見されました。

攻撃原理

1. HPACK 圧縮爆弾：極めて小さなヘッダー（例: "x: a"）をサーバーの HPACK 動的テーブルに挿入し、その後 1 バイトのインデックス参照を何千何万と送信します。各参照はサーバーに大量の管理用メモリを割り当てさせますが、クライアントはごくわずかな帯域幅しか消費しません。メモリ増幅率は ~5700:1（Envoy）および ~4000:1（Apache httpd）に達します。

2. Slowloris フロー制御維持：ゼロバイトのフロー制御ウィンドウによりサーバーがレスポンスを送信できないようにし、WINDOW_UPDATE フレームを drip-feed して接続を維持させ、メモリ割り当てを「固定」します。

3. Cookie 分割バイパス：大きな Cookie を多数の小さな断片に分割し、サーバーのヘッダー数制限を回避します。

影響範囲

CVSS スコア

• CVSS 3.1: 7.5 (AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H)
• 一部ベンダーはさらに高いスコア（例: 9.8）を付けています。これは悪用の難易度が極めて低いためです。

ツールの説明

本ツールはセキュリティ研究および許可を得たテストを目的とし、CVE-2026-49975 脆弱性の攻撃メカニズムを実演します。

依存関係のインストール

pip install -r requirements.txt

使用方法

# 基础攻击
python http2_bomb.py example.com

# 针对本地 HTTP/2 测试服务器（无 TLS）
python http2_bomb.py localhost -p 8080 --no-tls

# 高强度攻击（50 个 stream，每 stream 50000 个引用）
python http2_bomb.py example.com -s 50 -n 50000

# 启用 Cookie 分割绕过
python http2_bomb.py example.com --cookie-fragments 1000

# 快速模式（发送后不保持连接）
python http2_bomb.py example.com --no-hold

パラメータの説明

ローカルテスト

test_server.py を使用して、ローカル検証用の簡易 HTTP/2 サーバーを起動します：

# 生成自签名证书
openssl req -x509 -newkey rsa:2048 -keyout server.key -out server.crt -days 365 -nodes

# 启动测试服务器
python test_server.py --port 8443

# 运行攻击
python http2_bomb.py localhost -p 8443

防御に関する推奨事項

1. 即時緩和：直ちにパッチを適用できない場合は、一時的に HTTP/2 を無効化します

   • Apache: Protocols http/1.1
   • nginx: http2 off;

2. パッチの適用：

   • Apache httpd: mod_http2 を 2.0.41+ にアップグレード
   • nginx: 1.29.8+ にアップグレード
   • Envoy: 対応する修正バージョンにアップグレード

3. 設定の堅牢化：

   • max_headers 制限を設定（nginx 1.29.8+ ではデフォルト 1000）
   • 分割された Cookie ヘッダー数を正しく計算する
   • 単一接続あたりの最大ヘッダー数を制限する

4. 監視とアラート：

   • メモリ使用量の急増を監視
   • OOM イベントを監視
   • 異常な接続数を監視

免責事項

⚠️ 本ツールはセキュリティ研究および許可を得たペネトレーションテスト専用です。

許可なく他人のシステムに対して本ツールを使用することは違法行為です。利用者は現地の法令を遵守し、正当な許可を得た対象に対してのみテストを行ってください。

参考リンク

• CVE-2026-49975 - OpenCVE
• Original Disclosure - Calif
• Red Hat Advisory RHSB-2026-007
• HAProxy Protection Blog
• PoC Source - califio/publications

ライセンス

MIT License - セキュリティ研究および教育目的で使用されます。