HTTP/2 Bomb — CVE-2026-49975

PoC усиления потоков HTTP/2 · Docker · веб-консоль

Уязвимость

HTTP/2 позволяет мультиплексировать несколько потоков поверх одного TCP-соединения. Данный PoC формирует особым образом составленные кадры HEADERS, содержащие большое количество внутренних ссылок, заставляя сервер выделять огромные объёмы памяти для их отслеживания.

Сервер	Усиление	Эффект
Envoy 1.37.2	~5,700:1	~32 ГБ за ~10 с
Apache httpd 2.4.67	~4,000:1	~32 ГБ за ~18 с
Nginx	Высокое	Быстрый OOM

Минимальный трафик — максимальное истощение памяти.

Быстрый старт

git clone https://github.com/obrige/http2-bomb.git
cd http2-bomb
docker compose up -d

Откройте http://localhost:8080

Используется готовый образ из ghcr.io/obrige/http2-bomb:latest. Локальная сборка не требуется.

Запуск вручную

pip install -r requirements.txt
uvicorn app.main:app --host 0.0.0.0 --port 8080

Загрузка образа напрямую

docker pull ghcr.io/obrige/http2-bomb:latest
docker run -d -p 8080:8080 ghcr.io/obrige/http2-bomb:latest

Возможности

Веб-консоль с мониторингом в реальном времени
Обнаружение HTTP/2 в один клик
Настраиваемые параметры атаки
Потоковая передача логов в реальном времени через SSE
Развёртывание Docker в один клик
Автоматическая публикация в GHCR через CI/CD

Отказ от ответственности

Только для авторизованного тестирования безопасности и образовательных исследований. Не используйте против целей без явного письменного разрешения. Пользователи несут всю юридическую ответственность.

http2-bomb

Популярное