新的HTTP/2漏洞让黑客能够通过内存耗尽攻击瘫痪服务器

O安全研究员
O安全研究员

O安全研究员

2026年7月24日 19:00
广东

在小说阅读器读本章

去阅读

一项新披露的HTTP/2拒绝服务漏洞引发了网络安全社区的担忧，研究人员确认未经认证的攻击者可能通过触发内存耗尽条件导致易受攻击的服务器崩溃。

该问题影响了多个HTTP/2实现，这些实现在处理停滞的数据流时未能妥善管理资源消耗，使攻击者能够降低或完全中断服务。

HTTP/2 在 RFC 9113 中定义，被广泛用于通过复用、头部压缩和流量控制来提升网页性能。

流量控制是一种关键机制，旨在防止终端之间的信息过载，通过限制在收到确认前可发送的数据量。然而，如果实施不当，这一机制也可能被滥用。

HTTP/2漏洞导致服务器崩溃

当恶意客户端故意操控流量控制参数以阻断出站数据传输时，就会出现该漏洞。通过将SETTINGS\_INITIAL\_WINDOW\_SIZE等数值设为零或保留WINDOW\_UPDATE帧，攻击者实际上阻止服务器发送响应数据。

在受影响的实现中，服务器会继续处理来的请求并生成完整的响应，尽管它无法将响应发送给客户端。

根据CERT/CC，响应数据会在每个停滞流的内存缓冲区中积累，攻击者可以通过打开多个流并请求大量资源，直到连接超时或终止，从而迅速增加内存使用。

这导致了一种称为内存放大的状况，即攻击者请求较小的行为导致服务器内存消耗异常高。

报告该问题的Okta红队安全研究人员证明，这种行为可以在无需身份验证的情况下远程利用。在高资源环境中，攻击可能触发内存不足、内核OOM终止或严重的交换激流，可能导致系统无响应。

即使在更受限的配置下，攻击者也能耗尽工作线程或连接池，阻止合法用户访问服务。

该漏洞被分配了多个CVE，包括CVE-2026-44909、CVE-2026-59173和CVE-2026-59762，反映了其在不同厂商和实现中的影响力。

受影响的厂商包括Apache Traffic Server、Citrix、F5 Networks、Meta、Red Hat、SUSE和Yahoo。一些供应商，如Cloudflare和AMD，已确认不受影响。

这一问题凸显了更广泛的协议层面弱点，合法功能可能被用作拒绝服务攻击武器。与传统的体积式DDoS攻击不同，该技术依赖于协议滥用和高效的资源耗尽，使得使用标准流量过滤机制更难被检测。

厂商已经开始发布补丁和缓解指南。推荐的防御措施包括对缓冲响应实施严格内存限制、限制每个连接的并发HTTP/2流数量，以及主动终止表现出停滞流控制行为的连接。正确的超时处理和反压机制也有助于减少暴露。

运行HTTP/2支持服务的组织强烈建议尽快查看供应商公告并应用更新。监控异常内存使用模式和异常HTTP/2流行为也有助于实时检测利用尝试。

由于HTTP/2仍是现代网络基础设施的关键组成部分，这一漏洞凸显了实施稳健保障的重要性，以防止协议特性被转化为攻击向量。