quic-go 的路径验证机制可能导致拒绝服务 (CVE-2023-49295)
CVE编号
CVE-2023-49295利用情况
暂无补丁情况
N/A披露时间
2024-01-11漏洞描述
quic-go是Go语言实现的QUIC协议（RFC 9000，RFC 9001，RFC 9002）的一个库。攻击者可以通过发送大量的PATH_CHALLENGE帧来导致其对等方的内存耗尽。接收方应该对每个PATH_CHALLENGE帧都回复一个PATH_RESPONSE帧。攻击者可以通过折叠对等方的拥塞窗口（通过选择性确认接收到的数据包）和操纵对等方的RTT估计来阻止接收方发送（绝大部分）这些PATH_RESPONSE帧。该漏洞已在版本0.37.7、0.38.2和0.39.4中修补。解决建议
建议您更新当前系统或软件至最新版，完成漏洞的修复。- 攻击路径 网络
- 攻击复杂度 高
- 权限要求 低
- 影响范围 未更改
- 用户交互 无
- 可用性 高
- 保密性 低
- 完整性 低
| CWE-ID | 漏洞类型 |
| CWE-400 | 未加控制的资源消耗（资源穷尽） |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论