CVE-2026-44433
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
W implementacji protokołu QUIC o nazwie Quicly, używanej głównie w serwerze HTTP H2O, przed zatwierdzeniem 8b178e6, atakujący mógł wysłać ramkę STREAM z jednym bajtem na największym dozwolonym przesunięciu, aby uzyskać dodatkowy kredyt kontroli przepływu. W pewnych warunkach prowadziło to do wyczerpania pamięci, ponieważ aplikacja alokowała bufor odbiorczy dla wszystkich danych przychodzących poza kolejnością, aż do największego odebranego przesunięcia.
Ocena ryzyka
Organizacja narażona jest na atak DoS (Denial of Service) polegający na wyczerpaniu pamięci serwera przez wysłanie zaledwie kilku pakietów. W przypadku serwera H2O z domyślnymi ustawieniami, podatność zwiększa maksymalną ilość pamięci alokowanej na połączenie około 4-krotnie.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę Quicly do wersji zawierającej zatwierdzenie 8b178e6 lub nowszej. W przypadku serwera H2O, zaleca się również przejrzenie konfiguracji kontroli współbieżności strumieni w celu ograniczenia ryzyka.
Inne podatności w Quicly
Zobacz wszystkie- CVE-2026-44436Wysokie
Quicly, implementacja protokołu QUIC w H2O, przed commitem 8b178e6 jest podatna na atak DoS poprzez uszkodzenie stanu połączenia. Biblioteka akceptuje Connection ID o długości do 255 bajtów, ale bufory CID są ograniczone do 20 bajtów, co prowadzi do przepełnienia bufora i asercji.
- CVE-2026-44435Wysokie
W implementacji protokołu QUIC o nazwie Quicly, używanej głównie w serwerze HTTP H2O, przed zatwierdzeniem 937d0e9 występuje błąd asercji. Błąd jest wyzwalany, gdy łączna liczba prawidłowych komunikatów uzgadniania odebranych w strumieniu CRYPTO w jednej przestrzeni numerów pakietów przekroczy 32 KB, co prowadzi do odmowy usługi (DoS).
- CVE-2026-44434Średnie
Quicly, implementacja protokołu QUIC używanego głównie w serwerze H2O, przed commit dccf5d4 była podatna na atak polegający na wstrzyknięciu resetu bezstanowego. Problem wynikał z braku walidacji wpisów w tablicy przechowującej wzorce resetu, co pozwalało atakującemu na ścieżce sieciowej na zerwanie połączeń QUIC.
Oryginalny opis (angielski, źródło NVD)
Quicly is an IETF QUIC protocol implementation intended primarily for use within the H2O HTTP server. Prior to commit 8b178e6, an adversarial peer could send a STREAM frame carrying just one byte at the largest offset being permitted to obtain additional flow control credit, which under certain circumstances could lead to a Denial of Service. Assuming the application prepares a receive buffer for storing all data that arrive out-of-order, up to the largest offset being received, this behavior could lead to the application allocating large amount of memory with the peer sending only a handful of packets, resulting in memory exhaustion. In addition to the receive buffer allocation strategy, the severity of this vulnerability depends on how the application controls the stream concurrency. In case of the H2O HTTP server, under its default setting, this bug increases the maximum amount of memory allocated per connection by about 4 times. This issue has been fixed by commit 8b178e6.