CVE-2026-40898
MediumCVSS 5.3Summary
quic-go to implementacja protokołu QUIC w języku Go. Przed wersją 0.59.1, atakujący mógł spowodować nadmierne przydzielanie pamięci w implementacjach klienta i serwera HTTP/3, wysyłając zakodowaną w QPACK ramkę HEADERS, która dekoduje się do dużej sekcji trailer field z wieloma unikalnymi nazwami pól i/lub dużymi wartościami.
Risk Assessment
Może to prowadzić do wyczerpania pamięci i ataków typu denial-of-service (DoS) na serwery lub klientów HTTP/3 w quic-go, co może skutkować awariami lub wyczerpaniem zasobów. Problem dotyczy zarówno serwerów, jak i klientów z powodu symetrycznej konstrukcji nagłówków.
Recommendation
Zaleca się aktualizację do wersji 0.59.1 lub nowszej, która wprowadza ograniczenia rozmiaru sekcji dekodowanej dla trailerów zgodnie z RFC 9114, aby zapobiec nadmiernemu przydzielaniu pamięci.
Original NVD description (English source)
quic-go is an implementation of the QUIC protocol in Go. Prior to version 0.59.1, an attacker can cause excessive memory allocation in quic-go's HTTP/3 client and server implementations by sending a QPACK-encoded HEADERS frame that decodes into a large trailer field section with many unique field names and/or large values. The implementation builds an `http.Header` for the corresponding `http.Request` or `http.Response`, while only enforcing limits on the size of the QPACK-compressed HEADERS frame, not on the decoded field section. This can lead to memory exhaustion. This is very similar to CVE-2025-64702. The difference is that this issue uses HTTP trailers, rather than HTTP headers, as the attack vector. A misbehaving or malicious peer can cause a denial-of-service (DoS) attack against quic-go's HTTP/3 servers or clients by triggering excessive memory allocation, potentially leading to crashes or resource exhaustion. This affects both servers and clients due to symmetric header construction. Version 0.59.1 enforces RFC 9114 decoded field section size limits for trailers as well. It incrementally decodes QPACK entries and checks the field section size after each entry, aborting the stream if an entry causes the limit to be exceeded.