HTTP/2 Bomb : nouvelle attaque DoS capable de saturer un serveur web en moins d'une minute

🗓️ Contexte

Publié le 3 juin 2026 sur BleepingComputer, cet article présente une nouvelle technique d’attaque par déni de service (DoS) nommée HTTP/2 Bomb, découverte par l’agent logiciel Codex d’OpenAI sous la direction de chercheurs de la société de sécurité offensive Calif.

🔍 Mécanisme de l’attaque

L’attaque combine deux méthodes DoS HTTP/2 préexistantes :

• Amplification HPACK : un en-tête est inséré dans la table dynamique HPACK et référencé répétitivement via une représentation indexée compacte d’un seul octet. Un octet envoyé par l’attaquant peut provoquer des milliers d’octets d’allocation mémoire côté serveur (ratio jusqu’à 5 700:1 pour Envoy, 4 000:1 pour Apache httpd).
• Blocage de libération mémoire via flow-control HTTP/2 (style Slowloris) : en annonçant une fenêtre de contrôle de flux à zéro octet, le serveur ne peut jamais finaliser la réponse et continue d’envoyer des trames WINDOW_UPDATE pour éviter les timeouts. La mémoire allouée n’est jamais libérée.

Cette combinaison permet à une seule machine sur une connexion 100 Mbps d’épuiser des dizaines de gigaoctets de RAM en quelques secondes.

📊 Résultats des tests

🛡️ Contournement des défenses existantes

L’attaque contourne les limites classiques sur la taille totale des en-têtes décodés, car les valeurs d’en-têtes utilisées sont minuscules. L’amplification provient de la comptabilité interne par en-tête et des allocations mémoire associées.

🔧 Correctifs disponibles

• nginx 1.29.8 : correctif disponible (directive max_headers ajoutée)
• Apache httpd mod_http2 2.0.41 : correctif disponible, identifiant CVE-2026-49975
• IIS, Envoy, Pingora : aucun correctif disponible au moment de la publication

Un PoC (proof-of-concept) a déjà été publié. Les détails techniques complets seront présentés à la conférence Real World AI Security par le chercheur Quang Luong.

📌 Type d’article

Il s’agit d’une publication de recherche présentant une nouvelle technique d’attaque DoS avec résultats expérimentaux, détails techniques et état des correctifs.

🧠 TTPs et IOCs détectés

TTP

• T1499 — Endpoint Denial of Service (Impact)
• T1499.001 — OS Exhaustion Flood (Impact)

IOC

• CVEs : CVE-2026-49975 — NVD · CIRCL

🟡 Indice de vérification factuelle : 49/100 (moyenne)

• ✅ bleepingcomputer.com — source reconnue (liste interne) (20pts)
• ✅ 4340 chars — texte complet (15pts)
• ✅ 1 IOC(s) (6pts)
• ⬜ pas d’IOC vérifié (0pts)
• ✅ 2 TTP(s) MITRE (8pts)
• ⬜ date RSS ou approximée (0pts)
• ⬜ aucun acteur de menace nommé (0pts)
• ⬜ 0/1 CVE(s) confirmée(s) (0pts)

🔗 Source originale : https://www.bleepingcomputer.com/news/security/new-http-2-bomb-dos-attack-crashes-web-servers-in-under-a-minute/

🖴 Archive : https://web.archive.org/web/20260604073231/https://www.bleepingcomputer.com/news/security/new-http-2-bomb-dos-attack-crashes-web-servers-in-under-a-minute/