Eine einzige HTTP/3-Verbindung reicht, um Server per QPACK in die Knie zu zwingen

Qpack amplification attacks against HTTP/3 servers

Ein nicht authentifizierter Angreifer kann HTTP/3-Servern winzige HEADERS-Frames schicken, die im Speicher zu Hunderttausenden Header-Objekten aufblähen – ein Vielfaches der gesendeten Daten. FoxIO testete zehn Implementierungen: Sieben waren anfällig, darunter quic-go, Cloudflare quiche, lsquic, Bun, aioquic/mitmproxy, das h3-Crate und Wireshark. Ursache sind fehlende, unvollständige oder zu spät greifende Limits für dekodierte Header. Mehrere Projekte haben bereits gepatcht, Bun, h3 und aioquic bleiben offen.