CVE-2026-49975-HTTP-2-Bomb

CVE-2026-49975 —「HTTP/2 Bomb」にさらされた攻撃対象領域を特定するためのトリアージ（悪用ではない）ツールです。

⚠️ このスクリプトは攻撃ペイロードを送信しません。通常のHTTPリクエストのみを行い、レスポンスヘッダーを分析して、手動でのバージョン/パッチ確認が必要なホストをフラグ付けします。

CVE-2026-49975 について

2026年6月3日に公開された「HTTP/2 Bomb」は、HPACK圧縮爆弾とSlowlorisスタイルのホールドを組み合わせた未認証のリモートDoSであり、デフォルトのHTTP/2設定でnginx、Apache httpd、Microsoft IIS、Envoy、Cloudflare Pingoraに影響します。

アドバイザリーで指摘されているように、「ホストがHTTP/2をサポートしているか」と尋ねるだけではあまりにも広範です。実際の露呈は使用されている実装とバージョンに依存します。そのため、このスクリプトはサーバーソフトウェアを識別し、結果を注意レベルに分類しますが、悪用を主張するものではありません。

機能

• 🏴 ASCIIバナーと完全なヘルプ（-h）
• 🧵 FIFOセマフォによるマルチスレッド（-tで並行数を制御）
• 🔒 スレッド間のアトミック出力（flockにより行のインターリーブなし）
• 📄 単一ホスト、ファイル（-f）、または標準入力（-f -）による入力
• 🔍 Serverヘッダーによるソフトウェア/バージョン検出
• 🎯 curlの%{http_version}による信頼性の高いHTTP/2検出
• 📊 CSVエクスポート（-o）
• 🎨 色付き出力（--no-colorで無効化可能）

要件

• bash 4+
• curl（HTTP/2対応）
• flock（オプション、推奨 — util-linux）

インストール

chmod +x detect_http2_bomb.sh

使用方法

# 単一ホスト
./detect_http2_bomb.sh example.com

# ホストリスト、30スレッド、CSV出力
./detect_http2_bomb.sh -f hosts.txt -t 30 -o results.csv

# 標準入力からホストを読み込み
cat hosts.txt | ./detect_http2_bomb.sh -f -

オプション

判定結果

CSV形式

host,server,verdict,status
example.com,"nginx",FLAG,"HTTP/2 active + nginx"

修正バージョン参照

このスクリプトのバージョンチェックは情報提供のみです。必ず公式のベンダーアドバイザリーで確認してください。

法的注意

許可されたターゲット（自身のインフラ、バグ報奨金プログラム、契約済みペネトレーションテスト）に対してのみ使用してください。許可なくシステムに対して使用することは違法となる可能性があります。作者は誤用に対して責任を負いません。

作者: Renzi