Все о мире Свободного Программного Обеспечения
🤝 Для связи - @raz_raz
💬 Чат - t.me/linuxgram_chat
🔷 ВК - vk.com/linux0ids
💡 Предложка - @linux_gram_bot
Заказать рекламу через биржу:
https://telega.in/c/linux_gram
Post #11930
3.29K
Критическая DoS-уязвимость в серверах nginx, Apache, IIS, Envoy и Pingora
Исследовательская фирма Calif раскрыла информацию об уязвимости «HTTP/2 Bomb» (CVE-2026-49975 присвоен для Apache httpd, но проблема затрагивает большинство популярных веб-серверов в конфигурации HTTP/2 по умолчанию). Атака позволяет удалённо исчерпать всю доступную память сервера за секунды, используя комбинацию двух техник, известных около десятилетия.
Атака сочетает два вектора. Первый — HPACK-бомба (компрессия заголовков). Клиент отправляет запрос с тысячами однобайтовых ссылок на заголовки в индексе HPACK, что на сервере приводит к полноценному выделению памяти под каждый заголовок, создавая коэффициент усиления до 5700:1. Второй — блокировка управления потоком (Slowloris-style hold). Клиент устанавливает нулевое окно управления потоком, заставляя сервер удерживать соединение открытым и не освобождать выделенную память. В результате однобайтовые данные в запросе заставляют сервер выделить гигабайты памяти и никогда её не отпускать.
Метрики воздействия (32 ГБ памяти):
Envoy 1.37.2: ~10 секунд (коэффициент ~5700:1)
Apache httpd 2.4.67: ~18 секунд (~4000:1)
nginx 1.29.7: ~45 секунд (~70:1)
Microsoft IIS (Windows Server 2025): ~45 секунд для 64 ГБ.
При невозможности обновления рекомендуется временно отключить HTTP/2 (
Linux / Линукс 🥸
Исследовательская фирма Calif раскрыла информацию об уязвимости «HTTP/2 Bomb» (CVE-2026-49975 присвоен для Apache httpd, но проблема затрагивает большинство популярных веб-серверов в конфигурации HTTP/2 по умолчанию). Атака позволяет удалённо исчерпать всю доступную память сервера за секунды, используя комбинацию двух техник, известных около десятилетия.
Атака сочетает два вектора. Первый — HPACK-бомба (компрессия заголовков). Клиент отправляет запрос с тысячами однобайтовых ссылок на заголовки в индексе HPACK, что на сервере приводит к полноценному выделению памяти под каждый заголовок, создавая коэффициент усиления до 5700:1. Второй — блокировка управления потоком (Slowloris-style hold). Клиент устанавливает нулевое окно управления потоком, заставляя сервер удерживать соединение открытым и не освобождать выделенную память. В результате однобайтовые данные в запросе заставляют сервер выделить гигабайты памяти и никогда её не отпускать.
Метрики воздействия (32 ГБ памяти):
Envoy 1.37.2: ~10 секунд (коэффициент ~5700:1)
Apache httpd 2.4.67: ~18 секунд (~4000:1)
nginx 1.29.7: ~45 секунд (~70:1)
Microsoft IIS (Windows Server 2025): ~45 секунд для 64 ГБ.
При невозможности обновления рекомендуется временно отключить HTTP/2 (
http2 off; в nginx, Protocols http/1.1 в Apache) или ограничить память рабочих процессов через cgroups/ulimit, чтобы атакованный worker завершался по OOM, не приводя к зависанию всей системы.Linux / Линукс 🥸
- 👍 13
- ❤ 4
- 🔥 1
