Quang Luong

يسمح ثغرة في تطبيق بروتوكول HTTP/2 لمهاجم عن بُعد بالتسبب في هجوم «رفض الخدمة» (DoS) عن طريق إحداث تخصيص مفرط للذاكرة. يجمع هذا الهجوم، الذي أُطلق عليه اسم «قنبلة HTTP/2»، بين تضخيم ضغط HPACK وتعطيل التحكم في التدفق. يمكن للمهاجم إدراج رأس في الجدول الديناميكي لـ HPACK والإشارة إليه مرارًا وتكرارًا باستخدام تمثيل مفهرس مضغوط، مما يؤدي إلى إنشاء حلقة تتطلب زيادة الذاكرة. وفي الوقت نفسه، يستخدم المهاجم نافذة تحكم في التدفق ذات بايت صفر لمنع الخادم من تحرير هذه الذاكرة، حيث يرسل بشكل دوري إطارات `WINDOW UPDATE` لتجنب انتهاء المهلة. وهذا يسمح لاتصال واحد ذي نطاق ترددي منخفض باستنفاد ذاكرة الخادم بسرعة، مما يجعل الوصول إلى الخادم مستحيلاً. في خادم Apache HTTP، تؤثر هذه المشكلة بشكل خاص على الوحدتين النمطيتين `mod http` و`mod http2`. أما في nginx، فتتعلق المشكلة بالمعالجة غير الصحيحة لبعض رؤوس ملفات تعريف الارتباط في تطبيق HTTP/2.

The issue is related to the exposure of sensitive information. An endpoint that exposes internals to unauthenticated users can be used as a "padding oracle", allowing an anonymous attacker to construct a valid authentication cookie. This could potentially be combined with vulnerabilities in other components to achieve remote code execution. The project is retired, and no fix is planned.