CVE-2025-8671 PoC — CVE-2025-8671

Source

https://github.com/abiyeenzo/CVE-2025-8671

Associated Vulnerability

Title:CVE-2025-8671 (CVE-2025-8671)
Description:A mismatch caused by client-triggered server-sent stream resets between HTTP/2 specifications and the internal architectures of some HTTP/2 implementations may result in excessive server resource consumption leading to denial-of-service (DoS). By opening streams and then rapidly triggering the server to reset them—using malformed frames or flow control errors—an attacker can exploit incorrect stream accounting. Streams reset by the server are considered closed at the protocol level, even though backend processing continues. This allows a client to cause the server to handle an unbounded number of concurrent streams on a single connection. This CVE will be updated as affected product details are released.

Description

PoC éducatif pour la vulnérabilité CVE-2025-8671 (DoS HTTP/2 sur lighttpd). À utiliser uniquement en laboratoire local.

Readme

# CVE-2025-8671 - PoC DoS lighttpd HTTP/2

Auteur : [@abiyeenzo](https://github.com/abiyeenzo)

---

## ⚠️ Avertissement

Ce projet est fourni **à des fins éducatives uniquement**. L’exécution du PoC contre des serveurs tiers peut constituer une **attaque informatique illégale** et entraîner des poursuites pénales.  

**N’utilisez ce script que sur vos environnements de test ou laboratoires locaux.**

---

## 📌 Description

Ce script permet de :

1. Vérifier si un serveur `lighttpd` est vulnérable à la faille **CVE-2025-8671** (HTTP/2 DoS).
2. Exécuter un **PoC DoS** en envoyant des flux HTTP/2 de manière contrôlée.

---

## 🛠 Fonctionnalités

- Vérification de la version de `lighttpd`.
- PoC DoS local sécurisé, avec :
  - Nombre de flux configurable (`--count`).
  - Mode continu (`--continuous`) jusqu’à interruption par Ctrl-C.
- Console colorée avec `rich` pour plus de lisibilité.

---

## ⚙️ Installation

1. Cloner le dépôt :

```bash
git clone https://github.com/abiyeenzo/CVE-2025-8671.git
cd CVE-2025-8671
````

2. Installer les dépendances :

```bash
pip install -r requirements.txt
```

> Python 3.10+ recommandé.

---

## 🚀 Utilisation

### Aide

```bash
python3 main.py -h
```

### Vérifier si le serveur est vulnérable

```bash
python3 main.py <host> -t
```

### Exécuter le PoC (local uniquement)

```bash
python3 main.py <host> -c
```

#### Options PoC

* `--count <nombre>` : Nombre de flux HTTP/2 à envoyer (défaut 20)
* `--continuous` : Mode continu jusqu’à Ctrl-C

Exemple :

```bash
python3 main.py 127.0.0.1 -c --count 50
python3 main.py 127.0.0.1 -c --continuous
```

---

## 📝 Disclaimer

**Ne lancez pas ce script contre des serveurs externes**. Il est fourni uniquement pour **apprentissage et test en laboratoire personnel**. L’auteur décline toute responsabilité en cas d’utilisation abusive.

---

## 📦 Requirements

* `rich>=13.0.0`
* `h2>=4.1.0`

File Snapshot


 [4.0K]  /data/pocs/32c9bd4db7c5425a741893890d3c4c87b9c56007
├── [3.6K]  main.py
├── [1.9K]  README.md
└── [  23]  requirements.txt

0 directories, 3 files

Shenlong Bot has cached this for you

Remarks

1. It is advised to access via the original source first.

2. Local POC snapshots are reserved for subscribers — if the original source is unavailable, the local mirror is part of the paid plan.

View subscription plans →

Goal Reached Thanks to every supporter — we hit 100%!