FoxIO раскрыла QPACK-амплификацию в HTTP/3: семь из десяти реализаций уязвимы

FoxIO опубликовала детали и PoC атаки Header Accordions: небольшой HEADERS-фрейм заставляет HTTP/3-сервер выделять в тысячи раз больше памяти. Уязвимы семь из десяти протестированных реализаций, три остаются без патча: Bun 1.4.3, крейт h3 и aioquic с mitmproxy.

• Амплификация достигает 4000 к 1, у lsquic — 600–1800 раз
• Патчи вышли для quic-go 0.57.0, quiche 0.29.3, lsquic 4.9.0 и Wireshark
• Bun, h3 и aioquic/mitmproxy не исправлены на 20 октября 2026
• IIS, Envoy, Google quiche и ngtcp2 лимиты соблюдают