{"id":40459,"date":"2026-06-04T01:06:01","date_gmt":"2026-06-03T23:06:01","guid":{"rendered":"https:\/\/overcentral.com\/de\/http-2-bomb-ki-entdeckt-neue-dos-attacke-auf-webserver\/"},"modified":"2026-06-04T01:28:21","modified_gmt":"2026-06-03T23:28:21","slug":"http2-bomb-dos-attacke-webserver","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/http2-bomb-dos-attacke-webserver\/","title":{"rendered":"HTTP\/2 Bomb: KI entdeckt neue DoS-Attacke auf Webserver"},"content":{"rendered":"

Mit einer einzigen heimischen Internetleitung k\u00f6nnen Webserver innerhalb von Sekunden in die Knie gezwungen werden. Die HTTP\/2 Bomb<\/strong> \u2013 eine neuartige DoS-Attacke, die am 2. Juni ver\u00f6ffentlicht wurde \u2013 zielt auf die Standardkonfigurationen der g\u00e4ngigsten Webserver-Software ab: nginx<\/a>, Apache HTTPD<\/a>, Microsoft IIS, Envoy<\/a> und Cloudflare Pingora. Entdeckt wurde die Verwundbarkeit von Sicherheitsforschern des Unternehmens Calif, die OpenAIs Codex nutzten, um zwei seit rund zehn Jahren bekannte Angriffstechniken zu kombinieren und damit bestehende Schutzmechanismen zu umgehen.<\/p>\n

Zwei zehn Jahre alte Verfahren, neu kombiniert<\/h2>\n

Die HTTP\/2 Bomb<\/strong> vereint zwei bekannte Angriffsmethoden. Die erste ist die HPACK-Kompressionsexplosion<\/strong>. HTTP\/2 verwendet HPACK, um Header zu komprimieren. Ein Angreifer<\/a> kann einen ein Byte gro\u00dfen Index auf eine Tabelle legen, auf die der Server bei jeder Anfrage zugreift und den vollst\u00e4ndigen Header im Speicher expandiert. Aus einem Byte auf der Leitung werden so Dutzende bis Tausende Bytes auf dem Server.<\/p>\n

Die zweite Komponente ist eine Slowloris-\u00e4hnliche Verbindungsaufrechterhaltung<\/strong>. Dabei wird das Flusskontrollfenster auf null Byte gesetzt, sodass der Server keine Antwort senden kann. Kurz vor einem Timeout sendet der Angreifer ein einziges Byte gro\u00dfes WINDOW_UPDATE<\/code>codecodecodecodecodecode-Frame, um die Verbindung offen zu halten und den reservierten Speicher nicht freizugeben.<\/p>\n

Beide Techniken sind seit Jahren bekannt \u2013 HPACK-Explosion als CVE-2016-6581, Slowloris-artige Zust\u00e4nde ebenfalls seit dieser Zeit. Doch w\u00e4hrend einzelne Ma\u00dfnahmen dagegen existieren, liegt die T\u00fccke der HTTP\/2 Bomb in der Kombination<\/strong>, die die vorhandenen Abwehrmechanismen unterl\u00e4uft.<\/p>\n

Bisherige Gegenma\u00dfnahmen gegen die HPACK-Explosion setzten auf eine Obergrenze f\u00fcr die Headergr\u00f6\u00dfe nach der Dekompression. Die HTTP\/2 Bomb verfolgt den umgekehrten Ansatz: Der Header-Inhalt ist nahezu leer, die Amplifikation entsteht aus dem Verwaltungs-Overhead, den der Server f\u00fcr jeden Eintrag aufwendet. Da die dekomprimierten Daten minimal bleiben, greift die Gr\u00f6\u00dfenbegrenzung nicht.<\/p>\n

Gegen Server mit einer Begrenzung der Anzahl der Header<\/strong> \u2013 wie Apache HTTPD und Envoy \u2013 nutzt die Attacke zudem eine Besonderheit des HTTP\/2-Protokolls (RFC 9113, \u00a78.2.3): Cookie-Header d\u00fcrfen explizit aufgespalten werden. Diese Teile werden nicht mitgez\u00e4hlt, sodass die Begrenzung umgangen werden kann.<\/p>\n

Ein Heimanschluss, 20 Sekunden, 32 Gigabyte<\/h2>\n

Die von Calif ver\u00f6ffentlichten Demodaten sind eindeutig: Mit einer einzigen 100-Mbit\/s-Heimleitung und einem Client konnten die Forscher<\/a> gegen Apache HTTPD und Envoy in rund 20 Sekunden 32 GB Server-Arbeitsspeicher<\/strong> belegen und halten. Die Verst\u00e4rkungsfaktoren und gemessenen Zeiten im Einzelnen:<\/p>\n