Одна HTTP/3-соединение обрушивает сервер: QPACK-амплификация в семи из десяти реализаций
Qpack amplification attacks against HTTP/3 servers
Исследователь FoxIO обнаружил класс атак на HTTP/3: небольшой HEADERS-фрейм заставляет сервер выделять в десятки и тысячи раз больше памяти, чем передано по сети. Достаточно одного соединения, чтобы уронить сервер с настройками по умолчанию. Уязвимы quic-go, Cloudflare quiche, lsquic, Wireshark, aioquic/mitmproxy, Bun и h3; Google quiche, IIS, Envoy и ngtcp2/nghttp3 не затронуты. Причина — отсутствие или неполнота лимита на размер декодированных заголовков.
Один поток, несущий около 516 КиБ по сети (528 500 индексированных ссылок), навсегда загружает сервер на 100% CPU, и он никогда не восстанавливается, блокируя новые входящие запросы.