【要点】
◎HTTP/2 Bombは、HPACKのヘッダー展開増幅とHTTP/2のフロー制御を悪用してサーバーメモリを枯渇させるDoS攻撃である。少量通信で大規模なサービス停止を引き起こせる
【要約】
HTTP/2 Bombは、HTTP/2のHPACK圧縮機能とフロー制御機構を組み合わせて悪用する新たなDoS攻撃手法である。攻撃者は小さなヘッダーをHPACKのインデックス参照で大量に展開させ、サーバー側に多数のヘッダーオブジェクトや関連メモリを確保させる。さらに、HTTP/2のフロー制御を利用してレスポンス送信を意図的に停滞させることで、確保されたメモリの解放を遅延させる。従来のヘッダーサイズ制限だけでは防御が困難であり、展開後のヘッダー数制限、Cookie crumbの適切なカウント、ストールしたストリームのタイムアウト管理が重要となる。対策としては、ソフトウェア更新、max_headers設定、HTTP/2ストリーム制御の見直し、必要に応じたHTTP/2無効化などが推奨される。
【ブログ】
◆HTTP/2 Bombの概要と対策メモ (Zenn, 2026/06/05)
https://zenn.dev/catatsuy/scraps/007524cdb805e0
