【要点】
◎OpenAIのCodexを用いた分析により、新たなDoS攻撃「HTTP/2 Bomb」が発見された。家庭用PCでも主要Webサーバーのメモリを短時間で枯渇させ、サービス停止を引き起こせる (Gigazine)
【概要】
| 項目 |
内容 |
|---|---|
| 名称 | HTTP/2 Bomb 攻撃 |
| 手法 | HTTP/2のHPACK圧縮増幅とフロー制御を悪用したSlowloris型攻撃を組み合わせた攻撃 |
| 対策 | ・対応バージョン/対応WEbサーバーの使用 ・HTTP/2 無効化 |
| 対応済みWebサーバー | Apache nginx Envoy |
| 未対応Webサーバー | Microsoft IIS Pingora |
【要約】
セキュリティ研究者は、OpenAIのコーディングエージェント「Codex」を活用して、新たなDoS攻撃手法「HTTP/2 Bomb」を発見した。この攻撃は、HTTP/2のHPACK圧縮増幅とフロー制御を悪用したSlowloris型攻撃を組み合わせたものである。攻撃者は少量のデータ送信でサーバーに大量のメモリ確保を強制し、その後レスポンス送信を妨害することでメモリを解放させない。実験では、Envoyが約10秒、Apache httpdが約18秒、nginxが約45秒で32GBのメモリを消費し、IISも約45秒で64GBを枯渇させた。研究者はnginxやApacheなどへ報告を行い、一部は修正済みだが、IISやPingoraでは未対応のためHTTP/2無効化などの緩和策が推奨されてい
【ニュース】
◆ウェブサーバーを数秒以内にダウンさせる「HTTP/2 Bomb」攻撃がOpenAIのCodexを使って発見される (Gigazine, 2026/06/04 13:30)
https://gigazine.net/news/20260604-http-2-bomb-attack/
