Yeni QPACK açıkları HTTP/3 sunucularını çökertebilir, 4.000 kata varan bellek şişmesi tetikleyebilir
Orijinal başlık: New QPACK Flaws Can Crash HTTP/3 Servers, Trigger Up to 4,000-Fold Memory Amplification
Kısaca
FoxIO, oturum açmamış uzak bir saldırganın tek bağlantıyla çok sayıda HTTP/3 web sunucusunu çökertebileceği QPACK açıklarını ortaya çıkardı ve çalışan kanıt konsepti kodu yayımladı. Saldırı, bellekte binlerce kat büyüyen sıkıştırılmış HTTP başlıklarına dayanıyor.
Ne oldu?
- Saldırgan, bellekte çok daha büyük bir veri kümesine açılan küçük bir sıkıştırılmış başlık paketi gönderiyor.
- Bellek şişmesi 4.000 kata kadar çıkabiliyor ve varsayılan yapılandırmalı sunucuları çökertmeye yetiyor.
Neden önemli?
HTTP/3 destekleyen sunucuları işleten ekipler, tek bağlantıyla hizmet kesintisi riski nedeniyle QPACK yamalarını ve sunucu yapılandırmalarını acilen gözden geçirmeli.
4.000 kat bellek şişmesi