HTTP/3サーバーを1接続でOOMに追い込むQPACK増幅攻撃、主要実装10件中7件が脆弱

Qpack amplification attacks against HTTP/3 servers

HTTP/3のヘッダー圧縮QPACKを悪用し、送信量の数十倍から数千倍のメモリをサーバーに確保させる攻撃手法。quic-go、Cloudflare quiche、lsquic、Bunなど10実装中7件が該当し、1接続でデフォルト設定のサーバーがOOMや無限ループに陥る。原因はデコード後のヘッダーサイズ制限の欠落や適用タイミングの遅れで、quic-goなど一部は修正済み。