HTTP/2 Bomb — CVE-2026-49975

Prova de Conceito de Amplificação de Stream HTTP/2 · Docker · Console Web

Vulnerabilidade

O HTTP/2 permite multiplexar múltiplos streams em uma única conexão TCP. Esta PoC cria frames HEADERS especialmente formatados contendo um grande número de referências internas, forçando o servidor a alocar quantidades massivas de memória para rastreá-las.

Tráfego mínimo, esgotamento máximo de memória.

Início Rápido

git clone https://github.com/obrige/http2-bomb.git
cd http2-bomb
docker compose up -d

Abra http://localhost:8080

Usa a imagem pré-construída de ghcr.io/obrige/http2-bomb:latest. Nenhuma compilação local necessária.

Manual

pip install -r requirements.txt
uvicorn app.main:app --host 0.0.0.0 --port 8080

Baixar a Imagem Diretamente

docker pull ghcr.io/obrige/http2-bomb:latest
docker run -d -p 8080:8080 ghcr.io/obrige/http2-bomb:latest

Recursos

• Console web com monitoramento em tempo real
• Detecção de HTTP/2 com um clique
• Parâmetros de ataque configuráveis
• Streaming de logs em tempo real via SSE
• Implantação em um clique com Docker
• Publicação automática para GHCR via CI/CD

Aviso Legal

Somente para testes de segurança autorizados e pesquisa educacional. Não use contra alvos sem permissão explícita por escrito. Os usuários assumem toda a responsabilidade legal.