HTTP/2 Bomb (CVE-2026-49975) vyklepne webservery za pár sekund

zdeneksvarc · 2026-06-03T17:52:01+00:00

Týká se nginx Apache httpd. Microsoft IIS, Envoy, Cloudflare Pingora https://blog.calif.io/p/codex-discovered-a-hidden-http2-bomb | Server...

zdeneksvarc

Týká se nginx Apache httpd. Microsoft IIS, Envoy, Cloudflare Pingora
https://blog.calif.io/p/codex-discovered-a-hidden-http2-bomb

| Server                              | Amplification | Demo result    |
|-------------------------------------|---------------|----------------|
| Envoy 1.37.2                        | ~5,700:1      | ~32 GB in ~10s |
| Apache httpd 2.4.67                 | ~4,000:1      | ~32 GB in ~18s |
| nginx 1.29.7                        | ~70:1         | ~32 GB in ~45s |
| Microsoft IIS (Windows Server 2025) | ~68:1         | ~64 GB in ~45s |

douby

Huh takže rychlé řešení povolit jen http/1.1 než vyjde oprava?

krtko

Zatial vidim teda iba nginx fix.

Alois

Zrovna Apache měl teď nedávno závažnou chybu v http/2, takže to spousta lidí vypnula, než byla aktualizace a jak na to koukám, lepší nadále nezapínat.