Klien jarak jauh yang tidak terautentikasi dapat memaksa server HTTP/3 mengalokasikan memori puluhan hingga ribuan kali lebih besar dari yang dikirimkannya. Satu koneksi saja sudah cukup untuk menghabiskan memori server atau membuat server dengan konfigurasi default tidak berfungsi. Tujuh dari sepuluh implementasi yang diuji rentan, dan beberapa di antaranya telah diperbaiki.
QPACK memampatkan header HTTP/3 untuk meminimalkan lalu lintas data yang dikirim melalui jaringan. Pada implementasi yang terdampak, batas ukuran header yang telah didekode tidak ada, tidak lengkap, atau diterapkan terlalu lambat. Akibatnya, sebuah frame HEADERS kecil dapat berkembang menjadi ratusan ribu objek header di dalam memori. Untuk mencegah pengembangan ini, diperlukan penerapan anggaran kumulatif saat setiap field didekode dan disimpan.
Penelitian ini bermula saat mempelajari tumpukan QUIC untuk pemindai TLS JA4Scan, ketika kelas kerentanan yang sama ditemukan pada beberapa implementasi HTTP/3. RFC 9114 mendefinisikan bagaimana server seharusnya membatasi ukuran header yang telah didekode, tetapi sejumlah implementasi hanya memeriksa ukuran frame terkompresi, mendekompresi semuanya sebelum memeriksa, mengabaikan overhead 32 byte per field, menetapkan nilai tak terbatas secara default jika pengaturan tidak dikonfigurasi, atau tidak pernah menerapkan pengaturan tersebut sama sekali.
Serangan ini bekerja ke dua arah. Frame HEADERS berukuran 1.000.000 byte dapat memuat sekitar 160.000 header unik, sementara varian dynamic table menyisipkan satu entri besar lalu mereferensikannya ribuan kali dengan indeks satu byte, menghasilkan rasio 4064:1 pada lsquic dan Bun.
quic-go, Cloudflare quiche, lsquic, dan Wireshark sudah memiliki perbaikan. Bun, crate h3, dan aioquic/mitmproxy masih belum diperbaiki per 20 Oktober 2026. Mitigasi yang dapat dilakukan meliputi tidak mengekspos server HTTP/3 ke publik, menonaktifkan HTTP/3 di mitmproxy, dan menetapkan max_field_section_size yang wajar di h3. IIS, Envoy, dan ngtcp2/nghttp3 tidak terdampak.
Sumber: Hacker News · Diringkas oleh HeadlinesBriefing