Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] Kritická zraniteľnosť HTTP/2 Bomb vo webových serveroch
novo publikovaná zraniteľnosť s názvom HTTP/2 Bomb predstavuje kritické riziko pre dostupnosť väčšiny najbežnejších webových serverov. Zraniteľnosť je oficiálne evidovaná pod projektom Apache, v predvolenej HTTP/2 konfigurácii však postihuje aj servery NGINX, Microsoft IIS, Envoy a Cloudflare Pingora [1]. Stav opráv webových serverov: nginx [1] - 1.29.8 a novšie, dočasnou mitigáciou je úplné vypnutie HTTP/2 pomocou http2 off;. Apache httpd [1] - mod_http2 v2.0.41; dostupná v httpd trunk a standalone vydaniach mod_http2 [2], v rade 2.4.x zatiaľ chýba, dočasnou mitigáciou je zakázanie HTTP/2 pomocou Protocols http/1.1. Envoy [1][3] - 1.35.11, 1.36.7, 1.37.3, 1.38.1 (prebieha validácia účinnosti [1]). Microsoft IIS (vrátane Microsoft Server 2025), Cloudflare Pingora [1] - aktuálne nie sú k dispozícii.
Neautentizovanému vzdialenému útočníkovi je zasielaním špeciálne upravených sekvencií HTTP/2 rámcov (na kompresiu hlavičiek a riadenie toku) umožnené úplne vyčerpať systémovú pamäť (RAM) cieľového webového servera a vykonať útok DoS. Tento mechanizmus funguje na princípe kombinácie techník „HPACK Indexed Reference Bomb“ a „HTTP/2 Window Stall“ [1][4]. Mechanizmy tohto útoku sú známe z už skôr publikovaných zraniteľností - zneužitie kompresného mechanizmu HPACK [5][6] a vyčerpanie zdrojov typu Slowloris [7][8]. Detailné informácie o zraniteľnosti nájdete na [1], PoC (pre jednotlivé servery) na [9]. Ak opravená verzia nie je aktuálne k dispozícii alebo ju nie je možné okamžite nasadiť, vo všeobecnosti je možné riziko dočasne mitigovať vypnutím HTTP/2, striktným obmedzením počtu hlavičiek (vrátane jednotlivých častí cookies) nezávisle od ich celkovej veľkosti, obmedzením životnosti pozastavených streamov alebo nastavením limitov pamäte na úrovni procesov (cgroups, ulimit), aby operačný systém preťažený proces včas ukončil (OOM-kill) [1].
CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:H
Viac informácií:
- CVE-2026-49975 na cve.org, NVD
- CWE-400: Uncontrolled Resource Consumption na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 27. 5. 2026.
Odkazy
- [1] https://blog.calif.io/p/codex-discovered-a-hidden-http2-bomb
- [2] https://github.com/icing/mod_h2/releases
- [3] https://github.com/envoyproxy/envoy/security/advisories/GHSA-22m2-hvr2-xqc8
- [4] https://www.suse.com/security/cve/CVE-2026-49975.html
- [5] https://nvd.nist.gov/vuln/detail/CVE-2016-6581
- [6] https://nvd.nist.gov/vuln/detail/CVE-2025-53020
- [7] https://nvd.nist.gov/vuln/detail/CVE-2016-8740
- [8] https://nvd.nist.gov/vuln/detail/cve-2016-1546
- [9] https://github.com/califio/publications/tree/main/MADBugs/http2-bomb
Za CESNET, z.s.p.o. Michaela Ručková dňa 4. 6. 2026.