Un solo paquete HEADERS puede tumbar servidores HTTP/3: siete de diez implementaciones son vulnerables
Qpack amplification attacks against HTTP/3 servers
QPACK comprime las cabeceras HTTP/3, pero muchas implementaciones no limitan el tamaño decodificado. Un cliente remoto sin autenticar puede enviar un frame HEADERS de 1 MB que se expande a más de 160.000 cabeceras y consumir cientos de veces más memoria, provocando OOM o un bucle infinito. Siete de las diez librerías probadas están afectadas, incluidas quic-go, Cloudflare quiche, lsquic, Bun, aioquic/mitmproxy y h3; varias ya tienen parche.
Un solo stream que transporta unos 516 KiB por la red (528.500 referencias indexadas) deja el servidor clavado al 100% de CPU y nunca se recupera, bloqueando la entrada de nuevas peticiones.