CVE-2024-53259 in quic-go
Résumé
par VulDB • 13/07/2026
quic-go est une implémentation du protocole QUIC en Go. Un attaquant hors chemin (off-path) peut injecter un paquet ICMP « Packet Too Large ». Étant donné que les versions affectées de quic-go utilisaient IP_PMTUDISC_DO, le noyau renvoyait alors une erreur « message too large » lors d’un appel à sendmsg, c’est-à-dire lorsque quic-go tente d’envoyer un paquet dont la taille dépasse celle du MTU indiquée dans ce paquet ICMP. En définissant cette valeur à moins de 1200 octets (le MTU minimum pour QUIC), l’attaquant peut perturber une connexion QUIC. De manière cruciale, cela peut être fait après le achèvement de la poignée de main (handshake), contournant ainsi toute fallback TCP qui pourrait être mise en œuvre au niveau applicatif (par exemple, de nombreux navigateurs reviennent à HTTP sur TCP s’ils ne parviennent pas à établir une connexion QUIC). L’attaquant doit au moins connaître le tuple IP/port du client pour mener l’attaque. Cette vulnérabilité est corrigée dans la version 0.48.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.