CVE-2026-49975 HTTP/2 Bomb 재현 도구

저자: polar bear
버전: 2.1
적용 취약점: CVE-2026-49975 (HTTP/2 프로토콜 메모리 폭탄)

📖 취약점 원리

CVE-2026-49975는 HTTP/2 프로토콜 구현의 메모리 고갈 취약점으로, 공격 체인은 두 가지 핵심 단계로 구성됩니다:

HPACK 압축 폭탄: 단일 HTTP/2 스트림에서 동일한 헤더(예: x-bomb: test)를 반복 전송하여 서버가 참조할 때마다 완전한 메모리 구조를 할당하도록 강제하고, 4000:1 이상의 메모리 증폭을 실현합니다.
창 정체(Window Stall): 초기 흐름 제어 창을 0으로 설정하여 서버가 응답을 보내지 못하게 하고, 할당된 메모리가 영구적으로 잠겨 해제되지 못하게 합니다.

두 가지를 결합하면, 공격자는 약 16KB의 데이터만 전송해도 서버가 1MB 이상의 메모리를 소비하게 만들 수 있으며, 수십 초 내에 32GB 메모리를 고갈시켜 결국 서비스를 중단시킬 수 있습니다.

✅ HTTP/2 지원 자동 감지: ALPN 협상(HTTPS) 또는 연결 프리앰블(평문)을 통해 대상이 h2/h2c를 지원하는지 판단하며, 지원하지 않으면 공격하지 않습니다.
✅ 원클릭 감지 및 공격: "감지 → 메모리 잠금 → DoS 압살" 전체 프로세스를 자동으로 완료합니다.
✅ 강제 공격 모드: 감지를 건너뛰고 공격 페이로드를 직접 전송합니다(대상이 HTTP/2를 지원하는 것으로 확인된 시나리오에 적합).
✅ 다중 프로토콜 프록시 지원: HTTP, HTTPS, SOCKS4, SOCKS5 프록시를 지원하며 주소와 포트를 구성할 수 있습니다.
✅ 조절 가능한 공격 강도: "요청당 반복 횟수"(기본값 5)와 "공격 스트림 수"(0은 무한 지속 공격)를 설정할 수 있습니다.
✅ 그래픽 인터페이스: 실시간 로그 출력, 간단하고 직관적인 조작.