Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

EXPLOIT PÚBLICO

CVE-2025-64702 Denegación de servicio por expansión de cabeceras QPACK en quic-go HTTP/3

quic-go 0.56.0 y anteriores permite asignación excesiva de memoria en sus implementaciones HTTP/3 cliente y servidor al enviar un frame HEADERS codificado en QPACK que decodifica en una sección de cabeceras muy grande. Solo se limitan el tamaño del frame comprimido y no el de la cabecera decodificada, lo que agota la memoria. Se corrige en la versión 0.57.0.

Alerta de Nureq Monitor

Detectada 22 OCT · 10:45

CVSS 3.1

5.3MEDIA

PROBABILIDAD DE EXPLOTACIÓN (EPSS)

0,4 % PERCENTIL 29

EXPLOTACIÓN ACTIVA

No confirmada

EXPLOIT PÚBLICO

Sí 1 REPOSITORIO

Qué es CVE-2025-64702

quic-go 0.56.0 y anteriores permite asignación excesiva de memoria en sus implementaciones HTTP/3 cliente y servidor al enviar un frame HEADERS codificado en QPACK que decodifica en una sección de cabeceras muy grande. Solo se limitan el tamaño del frame comprimido y no el de la cabecera decodificada, lo que agota la memoria. Se corrige en la versión 0.57.0.

Productos y versiones afectadas

  • quic-go

    • < 0.57.0

Qué hacer

  1. Verificá si usás quic-go y en qué versión: el rango afectado figura arriba.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
  3. Priorizá la corrección: hay código de explotación público, así que el riesgo de ataque es alto.
  4. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Exploits y pruebas de concepto públicas

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

Calculadora CVSS

CVSS 3.1 · 5.3 MEDIA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L

VECTOR DE ATAQUE (AV)
Red
COMPLEJIDAD DEL ATAQUE (AC)
Baja
PRIVILEGIOS REQUERIDOS (PR)
Ninguno
INTERACCIÓN DEL USUARIO (UI)
Ninguna
ALCANCE (S)
Sin cambio
CONFIDENCIALIDAD (C)
Ninguna
INTEGRIDAD (I)
Ninguna
DISPONIBILIDAD (A)
Baja

Abrir la calculadora completa

Descripción original

quic-go is an implementation of the QUIC protocol in Go. Versions 0.56.0 and below are vulnerable to excessive memory allocation through quic-go's HTTP/3 client and server implementations by sending a QPACK-encoded HEADERS frame that decodes into a large header field section (many unique header names and/or large values). The implementation builds an http.Header (used on the http.Request and http.Response, respectively), while only enforcing limits on the size of the (QPACK-compressed) HEADERS frame, but not on the decoded header, leading to memory exhaustion. This issue is fixed in version 0.57.0.

Referencias

Historial de la alerta

  1. EXPLOIT PÚBLICO Se publicó el repositorio HORKimhab/CVE-2025-64702-more.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.