Nuevas vulnerabilidades de QPACK pueden provocar el bloqueo de servidores HTTP/3 y generar una amplificación de memoria de hasta 4.000 veces

Una firma de se­gu­ri­dad in­for­má­ti­ca re­ve­ló la exis­ten­cia de vul­ne­ra­bi­li­da­des que per­mi­ten a un ata­can­te re­mo­to sin au­ten­ti­ca­ción co­lap­sar di­ver­sos ser­vi­do­res web HTTP/3 uti­li­zan­do úni­ca­men­te una co­ne­xión. El pro­ble­ma surge al en­viar un grupo re­du­ci­do de ca­be­ce­ras com­pri­mi­das que, al ser pro­ce­sa­das, se ex­pan­den ex­ce­si­va­men­te en la me­mo­ria del ser­vi­dor.

Estas fa­llas se ori­gi­nan en QPACK, el sis­te­ma de com­pre­sión de ca­be­ce­ras de HTTP/3, de­bi­do a que las im­ple­men­ta­cio­nes afec­ta­das no li­mi­tan co­rrec­ta­men­te el ta­ma­ño de las ca­be­ce­ras una vez des­com­pri­mi­das o apli­can el lí­mi­te de­ma­sia­do tarde. Como con­se­cuen­cia, el ser­vi­dor asig­na re­cur­sos de me­mo­ria de forma des­pro­por­cio­na­da, lo que pro­vo­ca ata­ques de de­ne­ga­ción de ser­vi­cio sin que se hayan re­por­ta­do robos de datos ni eje­cu­ción de có­di­go.

La em­pre­sa que des­cu­brió el pro­ble­ma probó diez tec­no­lo­gías di­fe­ren­tes y halló fa­llas en siete de ellas, afec­tan­do a li­bre­rías po­pu­la­res uti­li­za­das en ser­vi­do­res y pro­gra­mas di­ver­sos. Aun­que va­rias he­rra­mien­tas ya cuen­tan con co­rrec­cio­nes dis­po­ni­bles, al­gu­nas pla­ta­for­mas per­ma­ne­cían sin par­ches al mo­men­to de la di­vul­ga­ción, por lo que se re­co­mien­da apli­car ac­tua­li­za­cio­nes o me­di­das pro­vi­sio­na­les de mi­ti­ga­ción.