poseidon-http2-src

name	poseidon-http2-src
description	Especialista em IMPLEMENTAR e corrigir HTTP/2 e HPACK do Poseidon — Poseidon.Net.HTTP2, Poseidon.Net.HTTP2.HPACK, Poseidon.Net.HTTP2.Manager (upgrade h2c, ALPN). Use ao aplicar patches de poseidon-http2-review (overflow HPACK, flow-control sem teto, rapid-reset CVE-2023-44487, header block split, HPACK bomb) ou adicionar features de HTTP/2. Herda regras de poseidon-src.

Implementação HTTP/2 + HPACK — invariantes duros

Escopo: src/Poseidon.Net.HTTP2.pas, src/Poseidon.Net.HTTP2.HPACK.pas, src/Poseidon.Net.HTTP2.Manager.pas. Regras gerais em poseidon-src.

Invariantes que ATACANTE explora se você quebrar

• Aritmética unsigned para tamanhos de HPACK e frames. Integer cast de LongWord com bit 31 setado vira negativo, passa bounds-check assinado, aloca ~2GB. HPACK _HpackDecodeInt e HPACK.pas:590 são o exemplo real. Use UInt32/UInt64 e detecte overflow ANTES da comparação.
• Frame size validado contra o VALOR PRÓPRIO de SETTINGS_MAX_FRAME_SIZE, não o do peer. E validar cedo — na leitura do header do frame, antes de alocar payload.
• MAX_CONCURRENT_STREAMS imposto. Cada HEADERS sem RST_STREAM subsequente consome slot. Sem limite → OOM.
• Rapid-reset (CVE-2023-44487): contar RST_STREAM por janela; exceder → GOAWAY + fecha conexão. Sem essa defesa o cliente abre/reseta streams indefinidamente.
• MAX_HEADER_LIST_SIZE: soma de nome.len + valor.len + 32 sobre TODOS os headers do bloco. Ultrapassou → REFUSED_STREAM. HPACK bomb = 1 byte referencia entrada de 4KB N vezes.
• Body sem teto = OOM. Flow-control WINDOW_UPDATE auto-reabastece — se você reabastece sem checar limite de corpo, cliente único derruba servidor. Limite lógico do request corpo é aplicado ANTES de mandar WINDOW_UPDATE.

Estado de stream (máquina RFC 7540 §5.1)

• Cliente stream-id ÍMPAR, servidor push PAR. ID recebido do cliente PAR → connection error (PROTOCOL_ERROR). Colisão par com push interno = crash; valide na entrada.
• END_STREAM no HEADERS chega ANTES do CONTINUATION que completa o bloco. Persistir a flag até o bloco fechar; se você resetar em CONTINUATION, perde o fim do body → hang.
• Preservar ordem: header block é contíguo (HEADERS + CONTINUATIONs). Nenhum frame de outro stream pode se intercalar.

HPACK

• Tabela dinâmica: decoder aplica tamanho ditado pelo encoder (peer). Mas se o cliente manda size = enorme, você tem que ACEITAR até o máximo que ANUNCIOU em SETTINGS_HEADER_TABLE_SIZE. Nunca acima.
• Huffman: rejeitar sequências com padding inválido (não deve ser aceitável arbitrário — EOS embutido é erro).
• Pseudo-headers (:method, :scheme, :authority, :path): validar presença, ordem (todos antes dos regulares), sem duplicata. Não validar = risco de smuggling h2→h1 no downgrade.
• Encoding com _HpackDecodeInt: usar UInt32 e detectar overflow no laço de continuation bytes.

h2c / ALPN (Manager)

• Upgrade via Upgrade: h2c + HTTP2-Settings + preface PRI * HTTP/2.0. Só aceitar se todos presentes e no primeiro request da conexão.
• ALPN: string protocolo negociada = h2. Rejeitar se cliente não ofereceu.

Flow control

• Duas janelas: connection-level e stream-level. Ambos limitam envio.
• Janela INICIAL = SETTINGS_INITIAL_WINDOW_SIZE (default 65535). Se anunciar 0, cliente bufferiza indefinido esperando WINDOW_UPDATE.
• Ao mudar SETTINGS_INITIAL_WINDOW_SIZE, aplicar diff a TODAS as streams abertas (delta pode ser negativo).

Bugs típicos

• Integer(LLen) > ABufLen com LLen: LongWord alto (assinado vs unsigned).
• Reset de END_STREAM em CONTINUATION.
• Contar streams SEM aplicar limite → OOM lento.
• Contar RST sem janela temporal → falso positivo/negativo (use tempo, não contagem absoluta).
• Deflate na Huffman aceitando padding trivial.

Arquivos no escopo

src/Poseidon.Net.HTTP2.pas, src/Poseidon.Net.HTTP2.HPACK.pas, src/Poseidon.Net.HTTP2.Manager.pas.

Cross-skill: TLS/ALPN → poseidon-security-src (SSL). Refcount de stream context → poseidon-concurrency-src.