CVE-2026-49975 - HTTP/2 Bomb 개념 증명

설명

CVE-2026-49975 (일명 HTTP/2 Bomb)는 대부분의 주요 웹 서버가 기본 HTTP/2 구성에서 영향을 받는 원격 서비스 거부(DoS) 취약점입니다.

이 취약점은 OpenAI Codex가 10년 동안 알려진 두 가지 기술을 결합하여 발견했습니다:

• HPACK Bomb: 네트워크의 1바이트가 서버에서 전체 헤더 할당으로 변환됩니다.
• Slowloris-style hold: 0바이트 흐름 제어 창으로 메모리 해제를 방지합니다.

영향을 받는 서버

서버	영향을 받는 버전	상태
nginx	< 1.29.8	✅ 패치됨
Apache httpd	< mod_http2 v2.0.41	✅ 패치됨
Microsoft IIS	최신 버전	❌ 패치되지 않음
Envoy	최신 버전	❌ 패치되지 않음
Cloudflare Pingora	최신 버전	❌ 패치되지 않음

서버별 증폭

서버	증폭 계수	영향
Envoy 1.37.2	~5,700:1	약 10초에 32GB
Apache httpd 2.4.67	~4,000:1	약 18초에 32GB
nginx 1.29.7	~70:1	약 45초에 32GB
IIS (2025)	~68:1	약 45초에 64GB

공격자의 요구 조건

• 100Mbps 연결이 가능한 일반 가정용 컴퓨터
• 취약한 서버를 몇 초 안에 사용 불가능하게 만들 수 있는 능력
• 880,000개 이상의 웹사이트가 잠재적으로 취약하다는 점을 인지

개념 증명

설치

git clone https://github.com/tenable-cve/CVE-2026-49975.git
cd CVE-2026-49975
pip install -r requirements.txt