CVE-2026-44434
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Quicly, implementacja protokołu QUIC używanego głównie w serwerze H2O, przed commit dccf5d4 była podatna na atak polegający na wstrzyknięciu resetu bezstanowego. Problem wynikał z braku walidacji wpisów w tablicy przechowującej wzorce resetu, co pozwalało atakującemu na ścieżce sieciowej na zerwanie połączeń QUIC.
Ocena ryzyka
Atakujący mogą przerwać istniejące połączenia QUIC, co prowadzi do odmowy usługi (DoS) i destabilizacji komunikacji między klientem a serwerem H2O.
Rekomendacja
Należy niezwłocznie zaktualizować Quicly do wersji zawierającej commit dccf5d4, który naprawia walidację wpisów wzorców resetu.
Inne podatności w Quicly
Zobacz wszystkie- CVE-2026-44436Wysokie
Quicly, implementacja protokołu QUIC w H2O, przed commitem 8b178e6 jest podatna na atak DoS poprzez uszkodzenie stanu połączenia. Biblioteka akceptuje Connection ID o długości do 255 bajtów, ale bufory CID są ograniczone do 20 bajtów, co prowadzi do przepełnienia bufora i asercji.
- CVE-2026-44435Wysokie
W implementacji protokołu QUIC o nazwie Quicly, używanej głównie w serwerze HTTP H2O, przed zatwierdzeniem 937d0e9 występuje błąd asercji. Błąd jest wyzwalany, gdy łączna liczba prawidłowych komunikatów uzgadniania odebranych w strumieniu CRYPTO w jednej przestrzeni numerów pakietów przekroczy 32 KB, co prowadzi do odmowy usługi (DoS).
- CVE-2026-44433Średnie
W implementacji protokołu QUIC o nazwie Quicly, używanej głównie w serwerze HTTP H2O, przed zatwierdzeniem 8b178e6, atakujący mógł wysłać ramkę STREAM z jednym bajtem na największym dozwolonym przesunięciu, aby uzyskać dodatkowy kredyt kontroli przepływu. W pewnych warunkach prowadziło to do wyczerpania pamięci, ponieważ aplikacja alokowała bufor odbiorczy dla wszystkich danych przychodzących poza kolejnością, aż do największego odebranego przesunięcia.
Oryginalny opis (angielski, źródło NVD)
Quicly is an IETF QUIC protocol implementation intended primarily for use within the H2O HTTP server. Prior to commit dccf5d4, Quicly was vulnerable to stateless reset injection through lack of packet entry validation. The QUIC protocol is designed to withstand packet injection attacks, once the handshake is complete. Only packets that carry some secret patterns are considered as stateless resets. Quicly allows the peer to share up to 4 such patterns per connection. However, until now, it failed to determine which of the 4 slots that it uses to retain the secret patterns contains a valid entry. As the slots are zero-initialized, the failure meant that, unless the peer advertised 4 of such patterns, an all-zero pattern was treated as a stateless reset.In effect, this allowed an on-path attacker to reset QUIC connections governed by Quicly. This issue has been fixed by commit dccf5d4.