Beveiligingsbedrijf FoxIO heeft nieuwe kwetsbaarheden ontdekt in QPACK, de headercompressietechniek die HTTP/3-servers over QUIC gebruiken, waarmee een aanvaller zonder inloggegevens een server met een enkele verbinding kan laten crashen. FoxIO publiceerde ook werkende proof-of-concept-code.
De aanval werkt door een kleine batch gecomprimeerde HTTP-headers te versturen die de server bij het uitpakken in het geheugen laat uitdijen tot een veel grotere set. Dat kan tot ongeveer 4.000 keer meer geheugengebruik opleveren, genoeg om een standaardserver door geheugentekort onderuit te halen. Een tweede methode verwijst herhaaldelijk naar één grote headerwaarde met kleine eenbytes-referenties. FoxIO meet voor deze tweede route 600 tot 1.800 keer amplificatie bij lsquic, tegenover circa 4.000 keer bij Bun. De kern van het probleem is dat getroffen servers de omvang van uitgepakte headers niet begrenzen. FoxIO testte tien HTTP/3-stacks en vond het probleem bij zeven daarvan.
Het gaat uitsluitend om denial-of-service: er zijn geen aanwijzingen dat de lekken ook gegevensdiefstal of het uitvoeren van code mogelijk maken. Getroffen zijn onder meer quic-go, dat onder de motorkap draait bij Caddy, Traefik en cloudflared, en lsquic, gebruikt door LiteSpeed Web Server, OpenLiteSpeed en door de JavaScript-runtime Bun. Bij Bun leidt een headeromvang van ruim 2 GB zelfs tot een oneindige lus en 100% CPU-gebruik. Ook Cloudflare’s quiche, de Rust-implementatie h3, en aioquic/mitmproxy zijn getroffen. Bij Wireshark crasht alleen de HTTP/3-decoder bij het openen van een capture met de bijbehorende decryptiesleutels, geen netwerkdienst dus. IIS, Envoy, ngtcp2/nghttp3 en Google’s eigen quiche zijn volgens FoxIO niet getroffen.
Een deel van de getroffen software is al gepatcht: quic-go in versie 0.57.0 (CVE-2025-64702), Cloudflare quiche in 0.29.3 (CVE-2026-12523), lsquic in 4.9.0, en Wireshark in 4.6.2 en 4.4.12 (CVE-2025-13945). Bun, de Rust-bibliotheek h3 en aioquic/mitmproxy hebben nog geen patch. Voor die laatste groep raadt FoxIO aan om Bun niet via HTTP/3 bloot te stellen, mitmproxy te starten met de vlag --set http3=false, en in de h3-bibliotheek een limiet in te stellen via max_field_section_size. Er zijn vooralsnog geen meldingen van actief misbruik.
Organisaties die eigen infrastructuur op basis van Caddy, Traefik, LiteSpeed of Bun draaien, doen er goed aan deze week te controleren of de genoemde versienummers al zijn uitgerold en anders alsnog te updaten.
Bron: The Hacker News
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.