HTTP/3 서버를 메모리 폭발로 몰아넣는 QPACK 증폭 공격, 10개 중 7개 취약
Qpack amplification attacks against HTTP/3 servers
HTTP/3의 QPACK 헤더 압축을 악용하면 인증 없이도 서버가 전송량의 수십에서 수천 배 메모리를 할당하게 만들 수 있다. 연결 하나로 기본 설정 서버를 OOM에 빠뜨리거나 CPU를 100%로 고정할 수 있다. 테스트한 10개 구현 중 7개가 취약했으며, quic-go, Cloudflare quiche, lsquic, Wireshark는 이미 패치됐고 Bun, h3, aioquic/mitmproxy는 아직 미패치 상태다. 원인은 디코딩된 헤더 크기 제한의 누락, 불완전한 적용, 또는 너무 늦은 검사다.
단일 스트림이 약 516KiB의 와이어 트래픽(528,500개의 인덱스 참조)만으로 서버를 100% CPU에 고정시키고, 서버는 결코 회복하지 못해 새로운 요청을 차단한다.