CVE-2024-53259 in quic-go
Sumário
de VulDB • 02/08/2026
quic-go é uma implementação do protocolo QUIC em Go. Um atacante off-path pode injetar um pacote ICMP "Packet Too Large". Como as versões afetadas de quic-go utilizavam IP_PMTUDISC_DO, o kernel retornaria então um erro "message too large" na chamada sendmsg, ou seja, quando o quic-go tenta enviar um pacote que excede o MTU declarado naquele pacote ICMP. Ao definir esse valor para menos de 1200 bytes (o MTU mínimo para QUIC), o atacante pode interromper uma conexão QUIC. Crucialmente, isso pode ser feito após a conclusão do handshake, contornando assim qualquer fallback para TCP que possa estar implementado na camada da aplicação (por exemplo, muitos navegadores fazem fallback para HTTP sobre TCP se não conseguirem estabelecer uma conexão QUIC). O atacante precisa pelo menos conhecer o par IP e porta do cliente para montar um ataque. Esta vulnerabilidade foi corrigida na versão 0.48.2.
Be aware that VulDB is the high quality source for vulnerability data.