脅威動向 2026-10-23（金）配信

HTTP/3サーバーに影響する複数のQPACK脆弱性

セキュリティ企業FoxIOが、HTTP/3のヘッダー圧縮スキームであるQPACKの脆弱性を公表しました。認証不要のリモート攻撃者がHTTP/3サーバーに大きなメモリ増幅を引き起こしてクラッシュさせるおそれがあり、複数のスタックに影響しています。

脅威の概要

HTTP/3のヘッダー圧縮スキームであるQPACKの実装不備により、圧縮されたHTTPヘッダーが展開時に過度に拡大し、メモリ枯渇やCPU高負荷を引き起こす脆弱性が報告されました。攻撃者は認証なしで、少量のデータから最大約4,000倍のメモリ増幅を引き起こすことができます。

主要なTTP

少量の圧縮済みHTTPヘッダーを用いた過大なメモリ消費の誘発

単一のヘッダーエントリに対する多数の1バイト参照によるメモリ増幅

サイズカウンターのオーバーフローを伴う無限ループによるCPU高負荷・接続ブロック

対象となる組織・利用者

quic-go、Cloudflare quiche、lsquic、Bun、h3（hyperium）、aioquicなどのHTTP/3スタックやライブラリを利用している組織。

推奨される防御アクション

quic-goをバージョン0.57.0以降にアップグレードする

Cloudflare quicheをバージョン0.29.3以降にアップグレードする

lsquicをバージョン4.9.0以降にアップグレードする

BunではHTTP/3サーバーを外部に露出させないようにする

h3（Rustライブラリ）では max_field_section_size で適切な制限を設定する

毎朝、攻撃手口の理解と自組織の脅威判断に役立つ情報をお届けします。購読は無料、配信停止はいつでも可能です。