CVE-2025-64702 in quic-go
要約
〜によって VulDB • 2026年09月06日
quic-goは、Go言語によるQUICプロトコルの実装です。バージョン0.56.0およびそれ以前のバージョンでは、QPACKエンコードされたHEADERSフレームを送信し、これが多数の一意なヘッダー名や/または大きな値を持つ巨大なヘッダーフィールドセクションにデコードされることで、quic-goのHTTP/3クライアントおよびサーバー実装を通じて過剰なメモリ割り当てが行われる脆弱性が存在します。この実装はhttp.Header（それぞれhttp.Requestおよびhttp.Responseで使用）を構築しますが、(QPACK圧縮された) HEADERSフレームのサイズに対してのみ制限を適用し、デコード後のヘッダーには制限を設けていないため、メモリの枯渇を引き起こす可能性があります。本問題はバージョン0.57.0で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.