HTTP/2 Bomb：HPACK インデックス参照増幅チェーン攻撃

高校生による自主的な技術詳細調査
2026年6月

TL;DR

このリポジトリには、20年近く前から存在する2つのHTTP/2プリミティブを連鎖させるHTTP/2 Bomb脆弱性（CVE-2026-49975 / CVE-2026-47774）に関する完全な分析を掲載しています：

• HPACK インデックス参照増幅 – ほぼ空の動的テーブルエントリに対して数千の1バイト参照を送信する
• フロー制御ウィンドウの停滞 – 初期ウィンドウをゼロにし、定期的に1バイトのWINDOW_UPDATEを送信してメモリを永遠に固定する

結果： 単一の100 Mbpsクライアントが、わずか10秒で32 GBのサーバーメモリを枯渇させることができます。

🧠 この研究を始めたきっかけ

すべては私がBilibili（中国版YouTube）を際限なくスクロールしながら見ていたときに始まりました。あるテックチャンネルが「主要なWebサーバーをダウンさせる新しいHTTP/2攻撃」について簡単に言及していました。詳細はなく、見出しだけでした。

それが頭に引っかかりました。動画を一時停止し、開示リンクを開いて、深みにはまっていきました。1つの論文から5つのCVE、そこからRFC、そしてソースコードへ。なぜワイヤ上の1バイトが59バイトのメモリを固定できるのか、なぜこれまで誰もこの2つのトリックを連鎖させなかったのかを正確に理解するまで、私は止まりませんでした。

ですから、このリポジトリは単なる要約ではありません。これは私の妥協のない完全な詳細調査であり、LaTeXでゼロから書き上げたものです。先生に頼まれたわけではありません。ただ、どうしても手放せなかったのです。

影響

5つの主要なWebサーバー実装すべてのデフォルト設定に影響します：

内容

中国語ブログ記事（初心者向け）：
https://www.itedev.com/posts/2026/06/12/http2-bomb-blog-zh

主要な発見（独自調査）

1. 増幅の原因はエントリごとの管理オーバーヘッド（プールブロック、構造体）であり、デコードサイズではない – 従来のHPACK爆弾対策を回避します。
2. ApacheにおけるCookie断片のマージは二次関数的メモリ増加O(N²)を引き起こします。
3. EnvoyのCookieバッファはmax_request_headers_kbを回避します – 最大5,700倍の増幅。
4. RFC 7541 §7.3の仕様上の欠陥：圧縮率のみをモデル化しており、エントリごとのアロケータオーバーヘッド＋フロー制御による固定を考慮していません。

防御モデル

「最大デコード済みヘッダーサイズ」と「最大ヘッダー数」は異なる制限であり、サーバーには両方が必要です。

なぜ重要か

この脆弱性は、5つのコードベースを同時に読解するAI（Codex）によって発見されました – *「継ぎ目を所有する者はいない」*という、実装横断的な新しいクラスのプロトコル欠陥です。

出典

2026年6月2日、Quang Luong、Jun Rong、Duc Phan（Calif Security Research）による協調的開示。
原著論文： blog.calif.io/p/codex-discovered-a-hidden-http2-bomb

著者

Zhicheng Wu
新会第一中学校 2028年卒業見込み
中国・広東省

ライセンス

この作品はCC BY 4.0の下でライセンスされています。
帰属表示を条件に、共有および改変が自由に許可されています。

---

学術的および防御的目的にのみ使用してください。