Implementações HTTP/3 / QPACK · Código de ataque público

Pesquisa detalha ataques de amplificação QPACK contra pilhas HTTP/3

19 de out. de 2026 · 1 min de leitura

Pesquisa da FoxIO descreve ataques de amplificação contra o cabeçalho QPACK em várias implementações HTTP/3. Correções saíram no quic-go 0.57.0, quiche 0.29.3, lsquic 4.9.0 e Wireshark 4.6.2/4.4.12. Bun e aioquic/mitmproxy seguiam sem correção na data do relatório.

Por Redação HIFY Radar Atualizado 26/10/2026 13:20 Receba isso todo dia →← Voltar ao feed 2 fontes

MédiaFalhaCódigo de ataque públicoCorreção parcial

Neste artigo

O que aconteceu
Por que importa
O que fazer
Para o time técnico
Linha do tempo
Fontes

O que aconteceu

Pesquisa da FoxIO detalha ataques de amplificação contra o cabeçalho QPACK em pilhas HTTP/3. Um cliente remoto, sem autenticação, força o servidor a alocar de dezenas a milhares de vezes mais memória do que envia. Uma única conexão basta para esgotar a memória ou travar um servidor com configuração padrão.

Por que importa

Sete das dez implementações testadas são vulneráveis, segundo a FoxIO. Serviços HTTP/3 expostos podem ficar indisponíveis com pouco tráfego de um atacante. Bun 1.4.3, h3 e aioquic/mitmproxy seguiam sem correção em 20/10/2026.

O que fazer

Atualize: quic-go 0.57.0, Cloudflare quiche 0.29.3, lsquic 4.9.0 e Wireshark 4.6.2 ou 4.4.12. Sem patch, mitigue: não exponha servidores HTTP/3 no Bun, desative HTTP/3 no mitmproxy (--set http3=false) e defina max_field_section_size no h3. IIS, Envoy e ngtcp2/nghttp3 não são afetados.

Para o time técnico

CVE: CVE-2025-64702, CVE-2026-12523, CVE-2025-13945
Afetados: Implementações HTTP/3 / QPACK (quic-go, Cloudflare quiche, lsquic, Bun, aioquic, h3, Wireshark) · Sete das dez implementações HTTP/3 testadas pela FoxIO. Com correção: quic-go, Cloudflare quiche, lsquic, Wireshark. Sem correção em 20/10/2026: Bun 1.4.3, h3 (hyperium), aioquic/mitmproxy. Não afetados: IIS, Envoy, ngtcp2/nghttp3.
Exploração: Pesquisa da FoxIO com data de referência de 20/10/2026; resumo divulgado na lista oss-security por Alan Coopersmith (Oracle) em 21/10/2026. Fontes não relatam exploração em campo.
Correção: quic-go 0.57.0 (CVE-2025-64702); Cloudflare quiche 0.29.3 (CVE-2026-12523); lsquic 4.9.0 (sem CVE); Wireshark 4.6.2 / 4.4.12 (CVE-2025-13945). Mitigações sem patch: Bun, não expor servidores HTTP/3; mitmproxy, --set http3=false; h3, definir max_field_section_size razoável. Correção estrutural exige orçamento cumulativo de memória aplicado durante a decodificação e a retenção dos campos.
Vetor: Amplificação de memória no decodificador QPACK de servidores HTTP/3. Limites de cabeçalho decodificado ausentes, incompletos ou aplicados tarde demais; um frame HEADERS pequeno expande para centenas de milhares de objetos de cabeçalho em memória. Exploração remota, sem autenticação, com uma única conexão.
Mais detalhes: A FoxIO afirma que uma conexão basta para OOM ou travar (pin) um servidor na configuração padrão. Alan Coopersmith (Oracle Solaris Engineering) divulgou o resumo na oss-security em 21/10/2026, 17:13 -0700. Detalhes completos no blog da FoxIO.