Exploit de denegación de servicio remoto HTTP/2 Bomb afecta a servidores web importantes (blog.calif.io)

• Combina bomba de compresión HPACK y bloqueo de ventana HTTP/2
• Afecta a nginx, Apache, IIS, Envoy, Pingora en configuraciones por defecto
• Un solo cliente puede consumir 32 GB de memoria en segundos en algunos servidores

"El exploit HTTP/2 Bomb combina una bomba de compresión HPACK con un bloqueo de ventana de control de flujo de HTTP/2 para agotar la memoria del servidor. Los servidores afectados incluyen nginx, Apache httpd, Microsoft IIS, Envoy y Cloudflare Pingora en configuraciones predeterminadas. Un solo cliente con una conexión de 100 Mbps puede hacer que un servidor quede inaccesible en segundos. Apache y Envoy pueden consumir 32 GB de memoria en unos 20 segundos. El ataque fue descubierto por el modelo de IA Codex y divulgado por el equipo de investigación de Calif."