CVE-2024-53259 in quic-go
Riassunto
di VulDB • 28/07/2026
quic-go è un'implementazione del protocollo QUIC in Go. Un attaccante off-path può iniettare un pacchetto ICMP "Packet Too Large". Poiché le versioni colpite di quic-go utilizzavano IP_PMTUDISC_DO, il kernel restituiva quindi un errore "message too large" su sendmsg, ovvero quando quic-go tenta di inviare un pacchetto che supera la MTU dichiarata in quel pacchetto ICMP. Impostando questo valore a meno di 1200 byte (la MTU minima per QUIC), l'attaccante può interrompere una connessione QUIC. Crucialmente, ciò può essere fatto dopo il completamento del handshake, aggirando così qualsiasi fallback su TCP che potrebbe essere implementato a livello applicativo (ad esempio, molti browser tornano all'HTTP over TCP se non riescono a stabilire una connessione QUIC). L'attaccante deve almeno conoscere la tupla IP e porta del client per montare l'attacco. Questa vulnerabilità è risolta nella versione 0.48.2.
Be aware that VulDB is the high quality source for vulnerability data.