- Neue DoS‑Technik „HTTP/2 Bomb“ kann Webserver in Sekunden lahmlegen: ein einzelner Client genügt.
- Betroffen sind Standard‑HTTP/2‑Konfigurationen von Nginx, Apache httpd, Microsoft IIS, Envoy und Cloudflare Pingora.
- Die Attacke kombiniert HPACK‑Header‑Kompression mit einem Slowloris‑ähnlichen Flow‑Control‑Hold: Speicher wird massiv belegt und nicht freigegeben.
- In Tests konnte ein einzelner Rechner mit 100 Mbit/s bis zu 32–64 GB RAM in unter einer Minute verbrauchen und Server unbenutzbar machen.
- Gegenmaßnahmen: Patches einspielen, HTTP/2 begrenzen oder vorübergehend deaktivieren, zusätzliche Schutzschichten wie WAF/Reverse‑Proxy einsetzen.
Kein Botnetz. Kein verteilter Angriff. Ein einzelner Rechner mit einer normalen Internetverbindung.
Die Schwachstelle heißt HTTP/2 Bomb, und sie funktioniert, weil HTTP/2: das Protokoll, das heute einen Großteil des modernen Webverkehrs trägt, auf Effizienz optimiert wurde. Diese Effizienz wird zur Angriffsfläche.
Die technische Mechanik ist elegant in ihrer Bösartigkeit. HTTP/2 nutzt ein Kompressionsverfahren namens HPACK, das Header-Informationen effizient überträgt. Client und Server teilen eine dynamische Tabelle mit Header-Einträgen. Ein kleiner Indexbyte auf Clientseite referenziert einen vollständigen Header-Eintrag auf Serverseite. Genau das macht sich der Angriff zunutze: Der Angreifer fügt einen minimalen Header in die Tabelle ein und referenziert ihn anschließend tausendfach. Auf dem Server entstehen tausende Header-Strukturen, jede mit eigenem Speicher-Overhead. Die klassische Verteidigung, ein Limit für die dekodierte Headergröße, greift nicht, weil die eigentlichen Werte winzig sind. Die Last entsteht durch das Bookkeeping, nicht durch große Inhalte.
Aber das allein würde nicht reichen. Der zweite Teil des Angriffs verhindert, dass der Server den belegten Speicher wieder freigibt. HTTP/2 hat eine Flusskontrolle, die regelt, wie schnell Daten fließen dürfen. Der Angreifer setzt sein Empfangsfenster auf null Byte, der Server darf keine vollständige Antwort senden und hält die Streams offen. Um Timeouts zu vermeiden, schickt er nur minimale Kontrollinformationen. Die Verbindung ist formal aktiv. Der Speicher wächst. Kontinuierlich, ungebremst, bis der Server kollabiert.
Was die Situation besonders unangenehm macht, ist das Erkennungsproblem. Klassische DDoS-Abwehr sucht nach Auffälligkeiten: ungewöhnlich viele Verbindungen, hohe Bandbreite, verdächtige Paketmuster. Die HTTP/2 Bomb erzeugt keines davon. Der Traffic ist minimal. Das Verhalten sieht nach normalem HTTP/2-Protokollverkehr aus. Die eigentliche Attacke spielt sich im Inneren des Servers ab, bei der Speicherverwaltung, unsichtbar für Volumen-Filter und einfache Rate-Limits.
Entdeckt wurde der Angriff nicht durch klassische Sicherheitsforschung, sondern durch einen KI-gestützten Code-Agenten. OpenAI Codex kombinierte zwei bekannte Konzepte: Kompressionsbomben gegen HPACK und Slowloris-ähnliche Techniken zur Verbindungsblockierung, zu einem neuen, hochwirksamen Angriffsmuster. Das ist die Nebengeschichte, die man nicht übersehen sollte: dieselben KI-Systeme, die Administratoren schützen sollen, finden Schwachstellen, die Menschen übersehen hätten.
Was Betreiber jetzt tun müssen, ist konkret. Nginx ab Version 1.29.8 enthält einen Fix mit einer neuen Direktive, die die maximale Header-Anzahl begrenzt. Apache hat mod_http2 in Version 2.0.41 korrigiert. Wer nicht sofort patchen kann, kann HTTP/2 vorübergehend deaktivieren, das ist ein Schritt zurück in der Performance, aber kein inakzeptabler. Vorgeschaltete Reverse-Proxies, Web Application Firewalls, WAAP-Dienste, die HTTP/2-Anomalien erkennen, können als zusätzliche Schicht helfen.
Was diese Schwachstelle über die aktuelle Sicherheitslage sagt, ist mehr als ein technisches Detail. Protokolle, die auf Effizienz optimiert wurden, tragen ihre Optimierungen als potenzielle Angriffsflächen mit sich. HTTP/2 ist besser als HTTP/1.1: schneller, sparsamer, skalierbarer. Aber jede Optimierung schafft Annahmen, und jede Annahme kann ausgenutzt werden. Das ist kein Argument gegen Protokollentwicklung. Es ist ein Argument für die Erkenntnis, dass Fortschritt und neue Angriffsvektoren immer zusammen kommen.
Die nächste Welle von Angriffen kommt nicht aus Botnetzen mit Millionen kompromittierten Geräten. Sie kommt aus präzise ausgenutzten Protokolldetails, entdeckt von KI-Systemen, die Muster kombinieren, die Menschen nicht zusammenbringen würden.
Ein Byte. Tausend Header. Dreißig Gigabyte.
In zehn Sekunden.
Kommentare
Kommentar veröffentlichen
Kommentar