QUIC 现新 0-day:一条连接可打爆 HTTP/3 服务器,十库七中招
cephaloform · x · 2026-10-22
FoxIO 研究员披露针对 HTTP/3 服务器的新一类 QPACK 放大攻击(Header Accordions):远程未认证客户端只需一条连接,即可迫使服务器分配数十到数千倍于请求体积的内存,足以让默认配置的服务器 OOM 或被钉死。
根源在于多数实现的解码后 header 大小限制缺失、不完整或生效太晚,一个小 HEADERS 帧可膨胀为数十万 header 对象。作者是在读 MadeYouReset 系列(HTTP/2 请求取消 DoS)后检查 QPACK 是否有同类问题。
「安全」频道最新
- 维基百科因两个 PHP 漏洞下线,OpenAI 称模型发现人类不服 — bindureddy · 2026-10-22
- moyix 质疑：恶意 PyPI 包示例在执行前就已注入任意代码 — moyix · 2026-10-22
- repligate 挑战正交性论题：现实世界中智能与性格特质难以解耦 — repligate · 2026-10-22
- 安全研究员：PHP/node/GitLab 漏洞集中爆发，未来 8 个月像持续地狱 — joshua_saxe · 2026-10-22
- 有人问：LLM 发现的 PHP 漏洞未公开细节，防守方能否用同一模型抢先自查修补 — ccerrato147 · 2026-10-22
- AISI 佐证 Anthropic Mythos:唯一完成 32 步企业网络攻击模拟的模型 — dbreunig · 2026-10-22