CVE-2026-49975 - HTTP/2 Bomb 概念验证

描述

CVE-2026-49975，也称为 HTTP/2 Bomb，是一种远程拒绝服务（DoS）漏洞，影响大多数主流 Web 服务器在其默认 HTTP/2 配置下的运行。

该漏洞由 OpenAI Codex 在结合两种已存在近十年的技术时发现：

• HPACK Bomb：网络中的一个字节在服务器端会转化为完整的标头分配
• Slowloris-style hold：零字节流量控制窗口阻止内存释放

受影响的服务端

服务端	受影响版本	状态
nginx	< 1.29.8	✅ 已修复
Apache httpd	< mod_http2 v2.0.41	✅ 已修复
Microsoft IIS	最近版本	❌ 未修复
Envoy	最近版本	❌ 未修复
Cloudflare Pingora	最近版本	❌ 未修复

各服务端放大倍数

服务端	放大倍数	影响
Envoy 1.37.2	~5,700:1	约10秒内消耗32 GB
Apache httpd 2.4.67	~4,000:1	约18秒内消耗32 GB
nginx 1.29.7	~70:1	约45秒内消耗32 GB
IIS (2025)	~68:1	约45秒内消耗64 GB

攻击者所需条件

• 一台具备 100 Mbps 连接的普通家用电脑
• 能够在数秒内使易受攻击的服务端不可用
• 了解超过 880,000 个网站 可能易受攻击

概念验证

安装

git clone https://github.com/tenable-cve/CVE-2026-49975.git
cd CVE-2026-49975
pip install -r requirements.txt