LONDON (IT BOLTWISE) – Eine neu dokumentierte Sicherheitslücke in HTTP/2 ermöglicht Denial-of-Service-Angriffe, die besonders leicht durch Standard-Serverkonfigurationen ausgenutzt werden können. Laut Angaben aus der Sicherheitsforschung kombiniert die Schwachstelle eine Kompressions-Variante mit einer Slowloris-ähnlichen Verbindungshaltung, wodurch Arbeitsspeicher gezielt blockiert wird. Betroffen sind unter anderem NGINX, Apache HTTPD, Microsoft IIS, Envoy und auch Cloudflare-Implementierungen. Für Administratoren zählt nun vor allem das schnelle Einspielen verfügbarer Patches und temporäre Protokoll-Workarounds, um Produktionsumgebungen kurzfristig zu schützen.
HTTP/2 ist im Unternehmensalltag längst Standard: Es verspricht geringere Latenz und effizientere Übertragung gegenüber HTTP/1.1, insbesondere bei vielen kleinen Requests. Umso relevanter ist die jetzt öffentlich beschriebene Sicherheitslücke, die unter dem Namen HTTP/2 Bomb firmiert und in erster Linie als Denial-of-Service-Problem wirksam wird. Der Kern der Gefahr liegt nicht in exotischen Randfällen, sondern laut Sicherheitsforschern in der Art, wie Server Metadaten und Verbindungsressourcen in einer typischen HTTP/2-Konfiguration verarbeiten. Dadurch können Angreifer mit wenig Netzwerkaufwand starke Auswirkungen erzeugen.
Technisch adressiert die Schwachstelle gleich zwei Engpässe in der Serververarbeitung: Header-bezogene Ressourcen und die Fähigkeit, Verbindungen offen zu halten. Auf der Header-Seite wird ein Ansatz beschrieben, der sich von klassischen Kompressionsbomben unterscheidet. Während frühere Angriffe insbesondere das HPACK-Headerkompressionsverfahren fokussierten und so große Werte indirekt in interne Tabellen einspeisten, läuft die neue Variante offenbar darauf hinaus, dass die decodierte Header-Grenze im Alltag gar nicht erst greift. Stattdessen entsteht die Last durch die wiederholte Buchführung pro Eintrag, sodass der Speicherverbrauch durch den Betrieb des Protokolls selbst verstärkt wird.
Dabei ist der Mechanismus entscheidend: Im Zusammenspiel aus sehr kleiner Eingabe auf der Leitung und hoher serverseitiger Folgearbeit kann bereits ein einzelnes übertragenes Byte zu einer ressourcenintensiven Header-Zuweisung führen. Weil ein HTTP/2-Server diese Zuweisungen pro Anfrage- oder Stream-Kontext wiederholen muss, skaliert das Problem in der Praxis ungewöhnlich schnell. Sicherheitsanalysten berichten, dass bei Tests gegen Apache HTTPD und Envoy bereits ein einzelner Client binnen etwa 20 Sekunden zweistellige Gigabyte-Bereiche des Arbeitsspeichers blockieren konnte. Für Betreiber bedeutet das: Nicht nur Bandbreite, sondern vor allem Speicher- und Connection-Management entscheidet über die Robustheit.
Die zweite Komponente nutzt eine Slowloris-Taktik auf Anwendungsebene, jedoch in eine HTTP/2-spezifische Form gebracht. Angreifer senden dabei ein Zero-Byte-Flow-Control-Window, das dem Server signalisiert, dass der Client aktuell keine Daten empfangen kann. In der Folge bleibt der Server gezwungen, die Verbindung offen zu halten, wodurch zugewiesene Speicherbereiche nicht rechtzeitig freigegeben werden. Dadurch entsteht eine gefährliche Asymmetrie: Der Aufwand des Angreifers bleibt vergleichsweise klein, während die Opferinfrastruktur fortlaufend Ressourcen bindet. Besonders kritisch ist das in HTTP/2-Umgebungen, in denen Verbindungen und Multiplexing-Streams konzeptionell darauf ausgelegt sind, lange und effizient nutzbar zu sein.
Ein wichtiger Kontext dazu ist die Protokollhistorie: Kompressionsbomben gelten seit Jahren als Lehrstück dafür, wie „effiziente“ Codierungen theoretisch sichere Annahmen verletzen können. Die 2016 dokumentierte HPACK-Bombe (CVE-2016-6581) demonstrierte bereits, wie große decodierte Datenmengen aus scheinbar kleinen Eingaben entstehen. Neuere Fehler wie CVE-2025-53020 in Apache zeigten, dass Angriffe nicht nur von Kompression, sondern auch von spezifischer Implementationslogik abhängen. Dass HTTP/2 heute dennoch in Breite eingesetzt wird, macht die neue Variante besonders brisant: Sie verlagert die Diskussion weg von reinen Header-Längenlimits hin zu Lebensdauer und Zuordnung von Ressourcen über Streams und Requests hinweg.
Im Markt schlägt die Meldung insbesondere bei etablierten Webserver- und Edge-Stacks Wellen. Betroffen sind laut Veröffentlichung unter anderem NGINX, Apache HTTPD, Microsoft IIS, Envoy sowie Cloudflare Pingora. Damit ist die Lücke nicht auf eine kleine Nische beschränkt, sondern kann Dienste treffen, die klassische Websites ebenso bedienen wie APIs, Reverse-Proxy-Setups und Microservice-Gateways. Für Sicherheitsverantwortliche ist zudem relevant, dass Cloudflare-ähnliche Edge-Ansätze zwar zusätzlichen Schutz durch Absorption und Filterung liefern können, aber eine serverseitige Grundschwäche nicht pauschal „wegpatcht“. Selbst wenn ein Angriff nicht überall gleich durchdringt, reicht eine Denial-of-Service-Wirkung aus, um SLAs und Incident-Prozesse auszulösen.
Wie ernst die Lage ist, wird auch durch die Einordnung der Sicherheitsforscher unterstrichen. In einem sinngemäß wiedergegebenen Statement wird kritisiert, dass das Problem in der Spezifikation zu stark als Verstärkungsverhältnis beschrieben werde, in der Praxis aber entscheidend sei, dass der Server zu lange gebunden bleibt. Diese Perspektive lässt sich technisch übersetzen: Ein Verstärker von 70:1 klingt zunächst begrenzbar, solange der betroffene Speicher nach Abschluss der Anfrage zuverlässig freigegeben würde. Wird der Speicher jedoch über eine Verbindungshaltung „verankert“, steigt der Schaden über die Zeit. Genau hier liegt der Übergang vom theoretischen Bug zur operativen Bedrohung für Produktionssysteme.
Für die Soforthilfe sind Workarounds gefragt, die sich mit operativen Realitäten decken: Patchen, Protokoll begrenzen und Angriffsfläche reduzieren. Bei NGINX wird laut den Angaben ein Update auf Version 1.29.8 oder höher genannt, das durch eine neue Direktive namens max_headers Sicherheitsfunktionalität ergänzt und standardmäßig auf einen Maximalwert von 1000 setzt. Falls ein Update kurzfristig nicht möglich ist, wird empfohlen, HTTP/2 temporär zu deaktivieren, etwa über http2 off. Apache HTTPD soll die Lücke in mod_http2 mit v2.0.41 behoben haben; als Übergang wird genannt, auf HTTP/1.1 zu beschränken, indem man das Protokoll-Handling in der Konfiguration entsprechend anpasst.
Microsoft IIS, Envoy und Cloudflare Pingora erhalten in der Veröffentlichung zunächst noch keine konkreten offiziellen Patches. Das ist nicht ungewöhnlich, aber sicherheitstechnisch riskant, weil viele Organisationen gerade in diesen Komponenten besonders stark standardisierte Deployment-Pipelines nutzen. In der Zwischenzeit rücken deshalb bewährte Schutzmaßnahmen in den Vordergrund: strikte Rate-Limits, Connection- und Stream-Timeouts, abgestufte Ressourcenlimits pro Client und eine durchgängige Überwachung von Arbeitsspeicherwachstum sowie Header- und Flow-Control-Metriken. Für Unternehmen gilt außerdem: Sicherheitsupdates sollten nicht als „einmaliger Task“ geplant werden, sondern als wiederkehrender Zyklus mit klaren Verantwortlichkeiten für Edge-, Proxy- und Applikationsschichten.
Aus einer strategischen Perspektive zeigt die HTTP/2 Bomb, wie wichtig es ist, dass Enterprise-Software nicht nur einzelne Input-Checks besitzt, sondern auch die Lebensdauer von Ressourcen über Protokollmechanismen hinweg robust verwaltet. Im Vergleich zu früheren HPACK-lastigen Angriffen verlagert diese Lücke die Aufmerksamkeit auf ein Zusammenspiel aus Kompressionslogik und Flow-Control-Verhalten. Für Entwickler und Betreiber ergeben sich daraus konkrete nächste Schritte: Testumgebungen sollten DoS-Szenarien mit sehr kleinen Eingaben und langlebigen Verbindungen abbilden, statt nur „klassische“ Payload-Grenzen zu prüfen. In den kommenden Releases ist daher zu erwarten, dass Protokoll- und Serverimplementierungen stärker auf Speicherfreigabe, Limitierung pro Stream sowie belastbare Timeout-Modelle optimiert werden, um die Angriffsfläche dauerhaft zu reduzieren.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "HTTP/2-Bomb: Neue DoS-Sicherheitslücke trifft NGINX, Apache, IIS und Envoy" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "HTTP/2-Bomb: Neue DoS-Sicherheitslücke trifft NGINX, Apache, IIS und Envoy" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »HTTP/2-Bomb: Neue DoS-Sicherheitslücke trifft NGINX, Apache, IIS und Envoy« bei Google Deutschland suchen, bei Bing oder Google News!