टेक्नोलॉजी

नई QPACK कमियों से HTTP/3 सर्वर हो सकते हैं क्रैश, 4,000 गुना तक मेमोरी एम्प्लीफायर का खतरा

30 Oct 2026, 03:28 PM IST · GlobeWire Daily Tech Desk · Source: thehackernews.com

चित्र: The Hacker News — Creative Commons

मुख्य बातेंसुरक्षा फर्म FoxIO ने HTTP/3 वेब सर्वर को प्रभावित करने वाली नई QPACK कमजोरियों का खुलासा किया है। इन कमियों का लाभ उठाकर एक अप्रमाणित दूरस्थ हमलावर केवल एक ही कनेक्शन के माध्यम से कई HTTP/3 सर्वर को क्रैश कर सकता है। सुरक्षा फर्म ने इसके लिए काम करने वाला प्रूफ-ऑफ-कांस

सुरक्षा फर्म FoxIO ने HTTP/3 वेब सर्वर को प्रभावित करने वाली नई QPACK कमजोरियों का खुलासा किया है। इन कमियों का लाभ उठाकर एक अप्रमाणित दूरस्थ हमलावर केवल एक ही कनेक्शन के माध्यम से कई HTTP/3 सर्वर को क्रैश कर सकता है। सुरक्षा फर्म ने इसके लिए काम करने वाला प्रूफ-ऑफ-कांसेप्ट कोड भी जारी किया है।

कमजोरियों के काम करने का तरीका और प्रभाव

हमलावर संपीड़ित HTTP हेडर का एक छोटा बैच भेजकर सर्वर को मेमोरी में बहुत बड़े सेट तक विस्तारित करने के लिए मजबूर कर सकता है। इससे सर्वर को सामान्य से हजारों गुना अधिक मेमोरी का उपयोग करना पड़ता है, जो डिफ़ॉल्ट सर्वर को क्रैश करने के लिए पर्याप्त है।

FoxIO द्वारा परीक्षण किए गए दस में से सात HTTP/3 स्टैक में इसी श्रेणी की खामी पाई गई। इसका मुख्य कारण QPACK है, जो HTTP/3 द्वारा अनुरोध हेडर को संकुचित करने के लिए उपयोग की जाने वाली योजना है। प्रभावित स्टैक आने वाले संपीड़ित बैच पर तो सीमा (कैप) लगाते हैं, लेकिन अनपैक किए गए परिणाम पर सीमा नहीं लगाते हैं या बहुत देर से लागू करते हैं।

प्रभावित और सुरक्षित स्टैक की स्थिति

quic-go, Cloudflare quiche, lsquic और Wireshark के लिए फिक्स जारी किए जा चुके हैं। हालांकि, खुलासे के समय Bun, h3 Rust लाइब्रेरी और aioquic पैच नहीं किए गए थे। दूसरी ओर, IIS, Envoy, ngtcp2/nghttp3 और Google की quiche को अप्रभावित पाया गया है, क्योंकि वे डिकोडिंग के दौरान अनपैक किए गए हेडर को सीमित करते हैं।

Wireshark का मामला सर्वर की कमियों से अलग है। इसकी समस्या उस समय HTTP/3 dissector को क्रैश कर देती है जब Wireshark की-लॉग फ़ाइल का उपयोग करके ट्रैफ़िक को डिक्रिप्ट करता है।

व्यावहारिक निहितार्थ और पाठकों के लिए सलाह

ऑपरेटर्स को सलाह दी गई है कि वे तुरंत अपने सॉफ्टवेयर को नवीनतम फिक्स्ड रिलीज में अपग्रेड करें। जिन स्टैक के लिए अभी तक फिक्स उपलब्ध नहीं हैं, उनके लिए FoxIO ने अंतरिम उपाय सुझाए हैं:

Bun: HTTP/3 सर्वर को सार्वजनिक रूप से उजागर न करें।
mitmproxy: `--set http3=false` पास करके HTTP/3 को बंद कर दें।
h3 Rust लाइब्रेरी: `max_field_section_size` के साथ एक उचित सीमा सेट करें।

पाठक मूल घोषणा और तकनीकी विवरणों की पुष्टि के लिए [The Hacker News की रिपोर्ट](https://thehackernews.com/2026/10/new-qpack-flaws-can-crash-http3-servers.html) देख सकते हैं।

संबंधित विषय

मूल स्रोत पढ़ें: New QPACK Flaws Can Crash HTTP/3 Servers, Trigger Up to 4,000-Fold Memory Amplification

AI की सहायता से तैयार रिपोर्ट; मूल स्रोत के दावों की स्वतंत्र पुष्टि नहीं की गई है।