CVE-2026-44436
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Quicly, implementacja protokołu QUIC w H2O, przed commitem 8b178e6 jest podatna na atak DoS poprzez uszkodzenie stanu połączenia. Biblioteka akceptuje Connection ID o długości do 255 bajtów, ale bufory CID są ograniczone do 20 bajtów, co prowadzi do przepełnienia bufora i asercji.
Ocena ryzyka
Atakujący może wysłać specjalnie spreparowany pakiet QUIC, powodując awarię aplikacji korzystającej z Quicly, co prowadzi do przerwy w działaniu usługi.
Rekomendacja
Zaktualizuj Quicly do wersji zawierającej commit 8b178e6 lub nowszej, która odrzuca pakiety z Connection ID dłuższymi niż 20 bajtów.
Inne podatności w Quicly
Zobacz wszystkie- CVE-2026-44435Wysokie
W implementacji protokołu QUIC o nazwie Quicly, używanej głównie w serwerze HTTP H2O, przed zatwierdzeniem 937d0e9 występuje błąd asercji. Błąd jest wyzwalany, gdy łączna liczba prawidłowych komunikatów uzgadniania odebranych w strumieniu CRYPTO w jednej przestrzeni numerów pakietów przekroczy 32 KB, co prowadzi do odmowy usługi (DoS).
- CVE-2026-44434Średnie
Quicly, implementacja protokołu QUIC używanego głównie w serwerze H2O, przed commit dccf5d4 była podatna na atak polegający na wstrzyknięciu resetu bezstanowego. Problem wynikał z braku walidacji wpisów w tablicy przechowującej wzorce resetu, co pozwalało atakującemu na ścieżce sieciowej na zerwanie połączeń QUIC.
- CVE-2026-44433Średnie
W implementacji protokołu QUIC o nazwie Quicly, używanej głównie w serwerze HTTP H2O, przed zatwierdzeniem 8b178e6, atakujący mógł wysłać ramkę STREAM z jednym bajtem na największym dozwolonym przesunięciu, aby uzyskać dodatkowy kredyt kontroli przepływu. W pewnych warunkach prowadziło to do wyczerpania pamięci, ponieważ aplikacja alokowała bufor odbiorczy dla wszystkich danych przychodzących poza kolejnością, aż do największego odebranego przesunięcia.
Oryginalny opis (angielski, źródło NVD)
Quicly is an IETF QUIC protocol implementation intended primarily for use within the H2O HTTP server. Prior to commit 8b178e6, Quicly is vulnerable to a Denial of Service attack through connection state corruption. In QUIC Invariants, the maximum length of a Connection ID is 255 bytes, while QUIC version 1 further restricts the maximum to 20 bytes. Quicly implements QUIC version 1 and therefore its CID buffers are limited to 20 bytes. However, to be able to respond to unknown versions of QUIC, its packet decoder accepts Connection IDs of up to 255 bytes. As its CID buffers are merely 20 bytes long, Quicly must reject QUIC version 1 packets with Connection IDs longer than that. The command line tool bundled with Quicly has had that check, however the library itself lacked such enforcement. As a consequence, when used by applications that lack their own enforcement, the connection state becoming inconsistent to buffer overrun. Fortunately, the overflow stops within the allocated chunk of memory, but nevertheless, the bug leads to assertion failures. This issue has been fixed by commit 8b178e6.