CVE-2025-64702 in quic-go
Zusammenfassung
von VulDB • 27.06.2026
quic-go ist eine Implementierung des QUIC-Protokolls in Go. Die Versionen 0.56.0 und älter sind anfällig für übermäßige Speicherallokation durch die HTTP/3-Client- und Serverimplementierungen von quic-go, indem ein QPACK-codiertes HEADERS-Frame gesendet wird, das sich in einen großen Header-Bereich (viele eindeutige Headernamen und/oder große Werte) decodiert. Die Implementierung erstellt eine http.Header (die jeweils im http.Request und http.Response verwendet wird), während nur Grenzen für die Größe des (QPACK-komprimierten) HEADERS-Frames durchgesetzt werden, nicht jedoch für den decodierten Header, was zu einem Exhaustion of memory führt. Dieses Problem wurde in Version 0.57.0 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.