HTTP/2 爆弾 — CVE-2026-49975

HTTP/2 ストリーム増幅 PoC · Docker · Webコンソール

脆弱性

HTTP/2 は単一のTCP接続で複数のストリームを多重化できます。このPoCは、多数の内部参照を含む特別に形成されたHEADERSフレームを作成し、サーバーがそれらを追跡するために大量のメモリを割り当てるように強制します。

最小のトラフィックで最大のメモリ枯渇。

クイックスタート

git clone https://github.com/obrige/http2-bomb.git
cd http2-bomb
docker compose up -d

http://localhost:8080 を開く

事前構築済みイメージ ghcr.io/obrige/http2-bomb:latest を使用します。ローカルビルドは不要です。

手動

pip install -r requirements.txt
uvicorn app.main:app --host 0.0.0.0 --port 8080

イメージを直接プル

docker pull ghcr.io/obrige/http2-bomb:latest
docker run -d -p 8080:8080 ghcr.io/obrige/http2-bomb:latest

機能

• リアルタイム監視機能付きWebコンソール
• ワンクリックHTTP/2検出
• 設定可能な攻撃パラメータ
• SSEリアルタイムログストリーミング
• Dockerワンクリックデプロイ
• CI/CDによるGHCRへの自動公開

免責事項

許可されたセキュリティテストおよび教育研究目的に限ります。 明示的な書面による許可なしにターゲットに対して使用しないでください。ユーザーはすべての法的責任を負います。