CVE-2024-53259 in quic-go
Tóm tắt
Bởi VulDB • 28/06/2026
quic-go là một triển khai giao thức QUIC bằng ngôn ngữ Go. Một kẻ tấn công ngoài đường truyền (off-path attacker) có thể chèn gói tin ICMP Packet Too Large. Vì các phiên bản quic-go bị ảnh hưởng sử dụng IP_PMTUDISC_DO, kernel sau đó sẽ trả về lỗi "message too large" trên hàm sendmsg, tức là khi quic-go cố gắng gửi một gói tin vượt quá MTU được tuyên bố trong gói tin ICMP đó. Bằng cách đặt giá trị này nhỏ hơn 1200 byte (MTU tối thiểu cho QUIC), kẻ tấn công có thể làm gián đoạn kết nối QUIC. Quan trọng nhất, điều này có thể thực hiện sau khi hoàn tất quy trình bắt tay (handshake), do đó vượt qua bất kỳ cơ chế dự phòng TCP nào có thể được triển khai ở lớp ứng dụng (ví dụ: nhiều trình duyệt chuyển sang HTTP trên TCP nếu không thể thiết lập kết nối QUIC). Kẻ tấn công cần ít nhất biết bộ tuple IP và cổng của máy khách để thực hiện cuộc tấn công. Lỗ hổng này đã được sửa trong phiên bản 0.48.2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.