Vulnérabilité QPACK dans HTTP/3
Pour commencer
Le 22 octobre 2026, la société de sécurité FoxIO a divulgué de nouvelles failles QPACK : un attaquant distant non authentifié peut, avec une seule connexion, envoyer un petit lot d'en-têtes HTTP compressés qui se décompressent en un volume bien plus important, forçant le serveur à consommer des milliers de fois plus de mémoire que ce qu'il a reçu, avec une amplification pouvant atteindre 4 000 fois, et faire ainsi planter de nombreux serveurs web HTTP/3. FoxIO a publié du code proof-of-concept fonctionnel. Aucune correction ni réponse des éditeurs n'a été rapportée à ce stade.
AI Généré à partir des reportages · 40 minmise à jour
Chronologie des reportages
Suivez les reportages pour découvrir les différentes facettes de l'événement.
- The Hacker NewssélectionDe nouvelles failles QPACK peuvent faire planter les serveurs HTTP/3, avec une amplification mémoire jusqu'à 4 000 fois
La société de sécurité FoxIO a divulgué de nouvelles failles QPACK permettant à un attaquant distant non authentifié de faire planter de nombreux serveurs web HTTP/3 avec une seule connexion, et a publié du code proof-of-concept fonctionnel. En envoyant un petit lot d'en-têtes HTTP compressés qui se décompressent en mémoire en un ensemble bien plus volumineux, l'attaquant peut forcer le serveur à consommer des milliers de fois plus de mémoire que ce qu'il a reçu, avec une amplification pouvant atteindre 4 000 fois.
Évolution des tendances de cet événement
Pas encore assez de données d'observation continues pour tracer une tendance.