LONDON (IT BOLTWISE) – Sicherheitsforscher zeigen mit „HTTP/2 Bomb“ eine Remote-DoS-Lücke, die bei Standard-HTTP/2-Konfigurationen von NGINX, Apache httpd, Microsoft IIS, Envoy und auch Cloudflare Pingora greift. Der Angriff nutzt HPACK-Header-Kompression, bei der aus nahezu „leeren“ Eingaben extrem große Server-Allokationen entstehen. Gleichzeitig hält der Angreifer die Ressourcen mit einem Slowloris-ähnlichen Mechanismus fest, sodass sie nicht freigegeben werden. Für Unternehmen bedeutet das: kurzfristige Header-/Protocol-Mitigationen und mittelfristig eine harte Überprüfung der HTTP/2-Deployment-Standards.
Webserver sind im Alltag meist so konfiguriert, dass sie „einfach funktionieren“: HTTP/2 ist aktiv, Header-Kompression ist an, und Load-Balancer kümmern sich um die Verteilung. Genau an dieser Stelle setzt die neue Remote-DoS-Lücke „HTTP/2 Bomb“ an, die bei mehreren großen Implementierungen auffällt, darunter NGINX, Apache HTTPD, Microsoft IIS, Envoy und Cloudflare Pingora. Anders als viele klassische Schwachstellen erfordert sie keinen speziellen Handshake oder exotische Erweiterungen, weil das problematische Verhalten bereits in der jeweiligen Standard-HTTP/2-Konfiguration vorhanden ist. Das erhöht das Risiko in heterogenen Produktionsumgebungen erheblich, in denen Updates nicht überall gleich schnell rollen.
Technisch betrachtet zielt der Angriff auf HPACK, den Header-Kompressionsmechanismus von HTTP/2. HPACK reduziert im Mittel die Headergröße um etwa 30%, indem es Metadaten in ein kompaktes Format umwandelt und Huffman-Codierung einsetzt. Die neue Variante macht sich jedoch die serverseitige Logik rund um HPACK-Tabellen und Buchhaltung zu eigen: Statt wie frühere „Compression Bombs“ große Werte einzuschleusen, startet der Angreifer mit nahezu leeren Headern. Auf der Drahtseite ist dadurch wenig zu dekodieren, doch der Server alloziert trotzdem Speicher für einzelne Einträge und Verwaltungsstrukturen – und zwar in einer Form, die sich pro Anfrage wiederholt und so zu einer Verstärkung (Amplifikation) wird, die typischerweise auf den klassischen „Decoded-Size“-Schutz nicht anspringt.
Der zweite Baustein der „Bomb“-Kombination ist eine Slowloris-artige Komponente, also ein Angriffsmuster aus der Anwendungsschicht, bei dem der Angreifer viele parallele HTTP-Verbindungen offenhält. In der Beschreibung der Forscher entspricht das einem Zero-Byte-Flow-Control-Fenster, das die Freigabe blockiert. Dadurch bleibt der zuvor allozierte Speicher an den betroffenen Ressourcen gebunden, obwohl der Client „eigentlich“ keine weiteren Daten sendet. Das ist entscheidend, denn ein reiner Amplifikationsfehler wäre weniger gefährlich, wenn der Speicher am Request-Ende zuverlässig wieder zurückgeht. In der Praxis entsteht eine Art „Pinned Memory“: Jede Anfrage bringt Speicher auf dem Server in ein Zustandsschema, das der Angreifer nahezu beliebig lange verlängern kann.
Dass dieser Ansatz nicht aus dem Nichts kommt, zeigt der Blick in die Historie. Bereits 2016 wurden Varianten rund um HPACK bekannt, etwa unter der Bezeichnung HPACK Bomb (CVE-2016-6581). Auch spätere Fälle knüpften an HTTP/2-spezifische Mechanismen an, darunter eine Speichererschöpfung in Apache httpd (CVE-2025-53020) sowie DoS-Szenarien über manipulierte CONTINUATION-Frames (CVE-2016-8740) oder Thread-Starvation (CVE-2016-1546) in HTTP/2-Verbindungen. Neu ist nach Darstellung der Forschenden vor allem die Richtung der Verstärkung: Nicht die Größe des dekodierten Outputs, sondern die pro Eintrag nötige Server-Buchhaltung kann den Speicherverbrauch dominieren. Genau deshalb wirkt die übliche „Ratio“-Denkweise aus Spezifikationen zu kurz.
Im Marktvergleich ist das Schadensbild besonders relevant, weil mehrere Rivalen und Ökosystem-Standards gleichzeitig betroffen sind. NGINX und Apache sind in vielen Enterprise-Setups die erste Wahl, Envoy ist häufig in Service-Mesh-Architekturen und Cloud-Backends präsent, und IIS sowie Cloudflare Pingora tauchen je nach Betriebsmodell sowohl in Rechenzentren als auch als Frontend-Schicht auf. Für Betreiber bedeutet das: Das Risiko entsteht nicht nur „bei einem Vendor“, sondern bei den Mustern, die DevOps-Teams für HTTP/2 typischerweise als Baseline übernehmen. Experten weisen daher in solchen Fällen regelmäßig darauf hin, dass Timing und Patch-Management weniger technisch als organisatorisch sind – und dass schnelle Rollouts in der Praxis häufig an Schnittstellen, Abhängigkeiten und Change-Fenstern scheitern.
Konkrete Gegenmaßnahmen variieren stark je nach Implementierung. Für NGINX wird ein Upgrade auf Version 1.29.8+ empfohlen, weil dort eine Begrenzung wie die max_headers-Direktive mit einem Default-Wert von 1000 ergänzt wird. Falls ein Upgrade nicht sofort möglich ist, raten die Forschenden dazu, HTTP/2 zu deaktivieren (z. B. über „http2 off“), wodurch der betroffene HPACK-Pfad aus dem Verkehr gezogen wird. Bei Apache httpd gibt es nach Angaben des Berichts eine Korrektur in mod_http2 v2.0.41. Für Microsoft IIS, Envoy und Cloudflare Pingora wird zum Zeitpunkt der Veröffentlichung hingegen keine Patch-Option genannt, sodass hier vor allem konfigurationsseitige Strategien, Protokoll-Restriktionen oder zusätzliche Schutzschichten im Vordergrund stehen müssen.
Der operative Impact lässt sich nur richtig einschätzen, wenn man die Ressourcenperspektive kombiniert: Laut Szenario kann bereits ein Heimanschluss mit 100 Mbit/s innerhalb von Sekunden die Erreichbarkeit eines verwundbaren Servers beeinträchtigen. Zusätzlich wird beschrieben, dass ein einzelner Client innerhalb von etwa 20 Sekunden rund 32 GB Server-Speicher gegen Apache HTTPD und Envoy „konsumieren und halten“ kann. Diese Größenordnung ist weniger ein theoretischer Worst Case als ein Hinweis darauf, dass Availability nicht nur von CPU oder Bandbreite abhängt, sondern von speichergebundenen Zustandsautomaten. Genau deshalb ist die Kombination aus HTTP/2-Headerkompression und Verbindungshaltung sicherheitsrelevant, auch wenn beide Features isoliert betrachtet als effizienzsteigernd gelten.
Für die Zukunft zeigt die Meldung einen klaren Trend: Sicherheitsteams müssen HTTP/2 und ähnliche „effiziente“ Protokollfeatures systematisch gegen Resource-Pinning, State-Amplification und Timing-orientierte DoS-Vektoren testen. Verglichen mit früheren Fällen wird zudem deutlicher, dass Spezifikationsannahmen zur Speichergefährdung nicht automatisch alle realen Implementierungsdetails abdecken, etwa wenn Verwaltungsstrukturen statt Dekodiertergebnisse dominieren. Regulatorisch und datenschutzseitig bleibt der Kerngedanke derselbe: Verfügbarkeit ist Voraussetzung für sichere Verarbeitung und kann indirekt Compliance-Anforderungen berühren, weil Ausfälle zu Datenverlustketten, Notfallprozessen und unvollständigen Transaktionsprotokollen führen. Unternehmen sollten daher die HTTP/2-Rollout-Standards, WAF/Reverse-Proxy-Konfigurationen und Monitoring-Schwellen zeitnah überarbeiten und dabei auch die zukünftige Patchfähigkeit ihrer Plattformen einplanen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "HTTP/2 Bomb: Remote DoS trifft NGINX, Apache, IIS, Envoy und Cloudflare" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "HTTP/2 Bomb: Remote DoS trifft NGINX, Apache, IIS, Envoy und Cloudflare" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »HTTP/2 Bomb: Remote DoS trifft NGINX, Apache, IIS, Envoy und Cloudflare« bei Google Deutschland suchen, bei Bing oder Google News!