Introduction
La vulnérabilité HTTP/2 Bomb suscite de vives inquiétudes dans la communauté cybersécurité. Cette nouvelle technique d’attaque par déni de service (DoS) exploite les implémentations HTTP/2 de plusieurs serveurs web largement déployés à travers le monde.
Découverte par le chercheur Quang Luong avec l’aide d’outils d’analyse automatisée, cette attaque permet à un acteur malveillant de consommer d’importantes quantités de mémoire à partir d’une simple connexion Internet domestique. Les plateformes concernées incluent nginx, Apache HTTP Server, Microsoft IIS, Envoy Proxy et Cloudflare Pingora.
Pour les entreprises, administrations et opérateurs d’infrastructures critiques, cette menace représente un risque important pour la disponibilité des services exposés sur Internet.
Comment fonctionne l’attaque HTTP/2 Bomb ?
L’attaque HTTP/2 Bomb repose sur la combinaison de deux mécanismes déjà connus dans l’univers de la sécurité applicative :
- Une bombe de compression HPACK ;
- Une attaque de type Slowloris.
Individuellement, ces techniques sont connues depuis plusieurs années. Cependant, leur combinaison crée un effet d’amplification particulièrement dangereux. L’attaquant envoie des en-têtes HTTP/2 spécialement conçus afin de forcer le serveur à allouer une quantité excessive de mémoire tout en empêchant la libération rapide des ressources.
Selon Actipace, quelques requêtes malveillantes suffisent à provoquer une saturation mémoire pouvant atteindre plusieurs gigaoctets en quelques secondes seulement. Cette situation peut entraîner une indisponibilité complète du service ciblé.
HTTP/2 Bomb affecte plusieurs serveurs majeurs
L’un des aspects les plus préoccupants de HTTP/2 Bomb est son impact sur plusieurs technologies largement utilisées.
Les serveurs concernés comprennent :
- nginx ;
- Apache HTTP Server ;
- Microsoft IIS ;
- Envoy Proxy ;
- Cloudflare Pingora.
Cryptika rapporte que plusieurs centaines de milliers de sites web pourraient être exposés via leurs configurations HTTP/2 par défaut.
Dans le cas d’Apache HTTP Server, une vulnérabilité associée a reçu l’identifiant CVE-2026-49975. Les développeurs ont publié rapidement un correctif afin de limiter le nombre d’en-têtes traités simultanément. nginx a également déployé une correction dans la version 1.29.8.
En revanche, certaines plateformes comme IIS, Envoy et Pingora ne disposaient pas encore de correctifs complets au moment de la publication des premières analyses.
Quelles mesures de protection appliquer ?
Face à cette menace, les équipes de sécurité doivent agir rapidement.
Pour les environnements nginx, il est recommandé de migrer vers la version corrigée 1.29.8 ou supérieure. Pour Apache HTTP Server, les administrateurs doivent appliquer la dernière version du module mod_http2 intégrant les correctifs de sécurité.
Lorsque les mises à jour ne sont pas immédiatement possibles, plusieurs mesures temporaires peuvent être envisagées :
Désactiver HTTP/2
La désactivation du protocole HTTP/2 constitue actuellement la mesure de réduction du risque la plus efficace.
Limiter les ressources serveur
Les organisations peuvent imposer des limites mémoire aux processus web via les mécanismes de contrôle du système d’exploitation ou des conteneurs. Cette approche permet de limiter l’impact d’une éventuelle attaque.
Renforcer la surveillance
Les équipes SOC doivent surveiller :
- Les pics inhabituels de consommation mémoire ;
- Les connexions HTTP/2 persistantes ;
- Les comportements anormaux liés aux en-têtes HTTP.
Cette surveillance peut permettre une détection précoce des tentatives d’exploitation.
Une nouvelle génération d’attaques protocolaires
L’émergence de HTTP/2 Bomb rappelle les précédentes attaques visant le protocole HTTP/2, notamment la vulnérabilité HTTP/2 Rapid Reset (CVE-2023-44487) qui avait généré des attaques DDoS record en 2023. La CISA avait alors recommandé l’application immédiate des correctifs et la mise en œuvre de mesures de protection contre les attaques volumétriques.
La particularité de HTTP/2 Bomb réside dans sa capacité à exploiter des comportements légitimes du protocole afin de provoquer un épuisement des ressources système sans nécessiter un volume massif de trafic. Le CERT.be a également publié une alerte sur cette nouvelle technique d’attaque.
Conclusion
La découverte de HTTP/2 Bomb démontre une nouvelle fois que les protocoles web modernes peuvent devenir des vecteurs d’attaque lorsqu’ils sont combinés à des mécanismes d’amplification sophistiqués. Les organisations utilisant nginx, Apache, IIS, Envoy ou Pingora doivent évaluer rapidement leur exposition et appliquer les mesures correctives disponibles.
Dans un contexte où la disponibilité des services numériques est devenue essentielle pour les entreprises et les administrations, la surveillance continue des infrastructures HTTP/2 et l’application rapide des correctifs constituent les meilleures défenses contre cette nouvelle menace.
Sources
- Cryptika — HTTP/2 Bomb Remote DoS Exploit Hits nginx, Apache, IIS, Envoy and Cloudflare Pingora
- Actipace — New HTTP/2 Bomb Attack Threatens NGINX, Apache, IIS, Envoy and Pingora Servers
- CISA — HTTP/2 Rapid Reset Vulnerability (CVE-2023-44487)
- CERT.be — Warning: New DDoS Technique Rapid Reset Attack
- RustSec Advisory — Pingora MadeYouReset HTTP/2 Vulnerability
