概要
AIツール「Codex」が、HPACK圧縮とフロー制御の仕組みを組み合わせることで、主要なWebサーバーのメモリを瞬時に枯渇させる深刻なDoS攻撃手法を発見した。
詳細内容
### 脆弱性の概要
セキュリティ研究チームCalifは、主要なWebサーバー（nginx、Apache httpd、IIS、Envoy、Pingora等）に影響する新しいDoS攻撃手法「HTTP/2 Bomb」を公開しました。この脆弱性は、AIモデル「Codex」が、10年以上前から知られていた2つの手法を独創的に組み合わせることで発見されました。
### 攻撃のメカニズム
1. **HPACK Indexed Reference Bomb**: 1バイトの参照コードで、サーバー側に膨大なメモリ割り当てを強制します。従来のサイズ制限を回避するため、デコード後のデータではなく、サーバー側の「エントリー管理用メモリ」を標的にします。
2. **HTTP/2 Window Stall**: フロー制御窓を0に維持し、微細な更新を繰り返すことで、サーバーがレスポンスを完了できずメモリを解放できない状態に固定（ピン留め）します。
これらを組み合わせることで、Cookieヘッダーの分割送信による制限バイパスを行い、攻撃者は低速な回線からでもサーバーを短時間でメモリ不足（OOM）に追い込むことが可能です。
### 影響と対策
家庭用回線からでも、数十秒で32GB以上のサーバーメモリを占有可能です。nginx 1.29.8やApache mod_http2 2.0.41では既に対策が導入されていますが、未パッチの環境ではHTTP/2の無効化や、cgroups等を用いたワーカープロセスのメモリ上限設定が強く推奨されています。