Ferramenta de Reprodução da Bomba HTTP/2 CVE-2026-49975
Autor: polar bear Versão: 2.1 Vulnerabilidade: CVE-2026-49975 (bomba de memória do protocolo HTTP/2)
📖 Princípio da vulnerabilidade
CVE-2026-49975 é uma vulnerabilidade de esgotamento de memória na implementação do protocolo HTTP/2. A cadeia de ataque envolve duas etapas principais:
Bomba de compressão HPACK: Enviar repetidamente o mesmo cabeçalho (como x-bomb: test) em um único fluxo HTTP/2, forçando o servidor a alocar uma estrutura de memória completa para cada referência, resultando em uma amplificação de memória superior a 4000:1.
Estagnação de janela: Definir a janela de controle de fluxo inicial como 0, impedindo o servidor de enviar respostas, fazendo com que a memória alocada fique permanentemente bloqueada e não possa ser liberada.
Combinando ambas, o atacante precisa enviar apenas cerca de 16KB de dados para fazer o servidor consumir mais de 1MB de memória, podendo esgotar 32GB de memória em dezenas de segundos, levando ao colapso do serviço.
🛠️ Funcionalidades da ferramenta
✅ Detecção automática de suporte HTTP/2: verifica se o alvo suporta h2/ via negociação ALPN (HTTPS) ou preface de conexão (texto puro). Se não suportar, não ataca.
h2c
✅ Detecção e ataque com um clique: executa automaticamente o fluxo completo "detecção → bloqueio de memória → DoS".
✅ Modo de ataque forçado: ignora a detecção e envia diretamente a carga de ataque (adequado para cenários em que se sabe que o alvo suporta HTTP/2).
✅ Suporte a proxies multiprotocolo: suporta proxies HTTP, HTTPS, SOCKS4 e SOCKS5, com endereço e porta configuráveis.
✅ Intensidade de ataque ajustável: é possível definir o "número de repetições por requisição" (padrão 5) e a "quantidade de fluxos de ataque" (0 para ataque contínuo ilimitado).
✅ Interface gráfica: saída de logs em tempo real, operação simples e intuitiva.
🚀 Como usar (execute o binário diretamente)
1. Execute o programa
Dê um duplo clique em CVE-2026-49975_Exploit_v2.1.exe (Windows)
ou
execute no prompt de comando: CVE-2026-49975_Exploit_v2.1.exe
2. Preencha as informações do alvo
Host de destino: IP ou domínio (ex.: 192.168.1.100 ou example.com)
Porta: normalmente 443 para HTTPS e 80 para HTTP/2 em texto puro
HTTPS: marcar indica que o alvo usa TLS (ou seja, h2); desmarcar indica h2c em texto puro
3. (Opcional) Configure o proxy
Marque "Habilitar proxy"
Selecione o tipo de proxy (http/https/socks4/socks5)
Preencha o endereço e a porta do proxy
4. Defina os parâmetros de ataque
Número de repetições por requisição: recomenda-se manter o padrão 5
Quantidade de fluxos de ataque: 0 significa ataque contínuo ilimitado; um número positivo interrompe automaticamente após enviar a quantidade especificada (ex.: 1000)
5. Execute o ataque
Recomendado: clique em "Detectar e atacar" → detecta HTTP/2 automaticamente → se suportado, inicia o ataque
Ataque forçado: clique em "Ataque forçado" (ignora a detecção; adequado para cenários em que já se confirmou que o alvo suporta HTTP/2)
6. Pare o ataque
Clique no botão "Parar ataque" para encerrar a qualquer momento
7. Verifique o resultado do ataque
O uso de memória do servidor alvo dispara (pode ser observado com htop, free -h, docker stats)
O serviço web eventualmente fica sem resposta ou trava, e os logs da ferramenta exibem erros como Connection reset by peer
⚠️ Aviso de isenção de responsabilidade
Esta ferramenta deve ser usada apenas em testes de segurança autorizados. Não execute em qualquer sistema de produção ou não autorizado sem permissão por escrito do proprietário do sistema alvo.
Todas as consequências diretas ou indiretas do uso desta ferramenta (incluindo, mas não se limitando a interrupção de serviço, perda de dados e responsabilidade legal) são de responsabilidade do usuário.
O autor (polar bear) e os distribuidores não assumem qualquer responsabilidade. Executar esta ferramenta significa que você leu e concorda com este aviso.
📄 Histórico de versões
v2.1 (2026-06-11): corrige o problema de congelamento da interface (atualização de UI com segurança de thread) e melhora a estabilidade.
v2.0 (2026-06-11): adiciona detecção automática de HTTP/2, suporte a proxies multiprotocolo e funcionalidade de detecção e ataque com um clique.
v1.0 (2026-06-10): interface gráfica básica, com suporte aos modos travamento (lock) e DoS.
lsg-polarbear/cve-2026-49975
