Auf den Punkt: Eine ungepatchte Denial-of-Service-Lücke in Alibabas XQUIC-Bibliothek ermöglicht HTTP/3-Server-Abstürze durch einfache, protokollkonforme QPACK-Requests; Alibaba hat seit April 2026 nicht reagiert.
Eine bislang ungepatchte Sicherheitslücke in Alibabas XQUIC-Bibliothek (v1.9.4 und früher) ermöglicht es entfernten Clients, HTTP/3-Server mit minimal 260 Bytes regulärem QPACK-Datenverkehr zum Absturz zu bringen. Betroffen sind Webserver wie Tengine, der in CDNs und Cloud-Infrastruktur großer chinesischer Plattformen wie Taobao und Alipay eingesetzt wird.
Der Sicherheitsforscher Sébastien Féry von FoxIO identifizierte einen Ganzzahl-Unterlauf in der Header-Komprimierungslogik von XQUIC. Wenn ein Client eine Vergrößerung der dynamischen QPACK-Tabelle anfordert, wird ein neuer Puffer zugewiesen und bestehende Daten kopiert. Der fehlerhaft implementierte Code berechnet die verbleibenden Daten auf Basis der Kapazität des neuen, größeren Puffers statt des alten Puffers. Dies führt zu einem Unterlauf des vorzeichenlosen Integer-Typs size_t mit einer extrem großen resultierenden Kopierlänge.
Der daraus folgende Schreibzugriff außerhalb der Puffergrenzen wird von Schutzmechanismen wie glibc-Fortify in aktuellen Linux-Distributionen erkannt und löst den sofortigen Absturz des Serverprozesses aus. Besonders kritisch: Der Angriff nutzt ausschließlich reguläre, protokollkonform gebildete QPACK-Werte. Missgebildete Pakete sind nicht erforderlich, weshalb konventionelle Sicherheitsfilter nicht ansprechen. Die Lücke ist seit der Erstveröffentlichung der Bibliothek im Januar 2022 vorhanden, ein Proof-of-Concept ist öffentlich verfügbar.
FoxIO informierte Alibaba am 7. April 2026 über die Schwachstelle gemäß Projektrichtlinien. Trotz mehrfacher Nachfragen verblieb Alibaba ohne Rückmeldung bis zur Veröffentlichung im Juli 2026. Weder ein Sicherheits-Patch noch eine CVE-Nummer wurden bislang veröffentlicht. Als Übergangslösungen empfehlen die Forscher, den QPACK-Parameter SETTINGS_QPACK_MAX_TABLE_CAPACITY auf 0 zu setzen, um die dynamische Tabelle zu deaktivieren, oder HTTP/3 auf betroffenen Servern vollständig zu deaktivieren.
Quelle: www.it-daily.net · Erschienen 15. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.