FoxIO披露QPACK缺陷并公开PoC

安全公司FoxIO披露HTTP/3的QPACK头压缩存在缺陷，并公开了可运行的PoC。据其说明，未登录的远程攻击者无需账号或特殊权限，仅用单个连接和少量压缩头部即可让服务器内存膨胀数千倍并耗尽内存；由于HTTP/3基于UDP，请求会在多数常规过滤生效前到达服务器。 quic-go、Cloudflare quiche、lsquic和Wireshark已发布修复，但披露时Bun、h3 Rust库和aioquic仍未修补。FoxIO给出的临时措施包括：不要在Bun上暴露HTTP/3服务器；在mitmproxy上通过--set http3=false关闭HTTP/3；对h3 Rust库设置合理的max_field_section_size上限。lsquic于2026年7月16日发布的修复将每条流保留的未解压头部集数量默认限制为1。

AI 根据报道生成 · 6 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。