CVE-2025-64702

ŚrednieCVSS 5.3

Opublikowano: 11/12/2025(UTC)Zaktualizowano: 14/10/2026(UTC)Przetłumaczono: 15/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.36%

Percentyl 29 - wyżej niż 29% wszystkich znanych CVE

Streszczenie

quic-go, implementacja protokołu QUIC w Go, w wersjach 0.56.0 i starszych pozwala na nadmierną alokację pamięci poprzez wysłanie ramki HEADERS zakodowanej w QPACK, która dekoduje się do dużego nagłówka. Limity nakładane są tylko na skompresowaną ramkę, a nie na zdekodowany nagłówek, co prowadzi do wyczerpania pamięci.

Ocena ryzyka

Zdalny atakujący może wysyłać specjalnie spreparowane żądania HTTP/3, powodując wyczerpanie pamięci i odmowę usługi (DoS) aplikacji korzystających z quic-go.

Rekomendacja

Zaktualizuj bibliotekę quic-go do wersji 0.57.0 lub nowszej.

Inne podatności w quic-go

CVE-2026-40898Średnie
quic-go to implementacja protokołu QUIC w języku Go. Przed wersją 0.59.1 atakujący może spowodować nadmierną alokację pamięci w implementacjach klienta i serwera HTTP/3 quic-go, wysyłając ramkę HEADERS zakodowaną w QPACK, która dekoduje się do dużej sekcji pól trailer z wieloma unikalnymi nazwami pól i/lub dużymi wartościami.

Oryginalny opis (angielski, źródło NVD)

quic-go is an implementation of the QUIC protocol in Go. Versions 0.56.0 and below are vulnerable to excessive memory allocation through quic-go's HTTP/3 client and server implementations by sending a QPACK-encoded HEADERS frame that decodes into a large header field section (many unique header names and/or large values). The implementation builds an http.Header (used on the http.Request and http.Response, respectively), while only enforcing limits on the size of the (QPACK-compressed) HEADERS frame, but not on the decoded header, leading to memory exhaustion. This issue is fixed in version 0.57.0.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS