Podatności Quicly

Quicly, implementacja protokołu QUIC w H2O, przed commitem 8b178e6 jest podatna na atak DoS poprzez uszkodzenie stanu połączenia. Biblioteka akceptuje Connection ID o długości do 255 bajtów, ale bufory CID są ograniczone do 20 bajtów, co prowadzi do przepełnienia bufora i asercji.

W implementacji protokołu QUIC o nazwie Quicly, używanej głównie w serwerze HTTP H2O, przed zatwierdzeniem 937d0e9 występuje błąd asercji. Błąd jest wyzwalany, gdy łączna liczba prawidłowych komunikatów uzgadniania odebranych w strumieniu CRYPTO w jednej przestrzeni numerów pakietów przekroczy 32 KB, co prowadzi do odmowy usługi (DoS).

Quicly, implementacja protokołu QUIC używanego głównie w serwerze H2O, przed commit dccf5d4 była podatna na atak polegający na wstrzyknięciu resetu bezstanowego. Problem wynikał z braku walidacji wpisów w tablicy przechowującej wzorce resetu, co pozwalało atakującemu na ścieżce sieciowej na zerwanie połączeń QUIC.

W implementacji protokołu QUIC o nazwie Quicly, używanej głównie w serwerze HTTP H2O, przed zatwierdzeniem 8b178e6, atakujący mógł wysłać ramkę STREAM z jednym bajtem na największym dozwolonym przesunięciu, aby uzyskać dodatkowy kredyt kontroli przepływu. W pewnych warunkach prowadziło to do wyczerpania pamięci, ponieważ aplikacja alokowała bufor odbiorczy dla wszystkich danych przychodzących poza kolejnością, aż do największego odebranego przesunięcia.