Ce que font vraiment 260 octets

La faille, divulguée le 8 juillet par le chercheur de FoxIO Sebastien Fery et surnommée XRING, réside dans QPACK, le schéma de compression d'en-têtes sur lequel s'appuie HTTP/3. Aucune valeur de l'attaque n'enfreint les règles de QPACK. XQUIC annonce par défaut une limite de table dynamique de 16 KiB; la charge demande 64 octets, puis 65, et pousse la table dans la disposition mémoire enroulée exacte qui atteint une branche défectueuse. Le processus du serveur s'effondre. Aucun identifiant, aucun paquet surdimensionné, rien qu'un pare-feu signale comme malformé.

C'est ce qui la rend dangereuse. La plupart des filtres contre les dénis de service cherchent du volume ou des entrées manifestement mauvaises, et XRING n'est ni l'un ni l'autre. C'est une requête petite et bien formée qu'un client normal pourrait envoyer par accident, et elle fait ses dégâts dans le chemin d'analyse avant que la moindre logique applicative ne tourne. Toute version de XQUIC jusqu'à la v1.9.4, l'actuelle, est touchée, et il n'existe aucune version corrigée vers laquelle migrer.

Pourquoi vous pourriez l'exécuter sans le savoir

XQUIC est la bibliothèque QUIC et HTTP/3 open source d'Alibaba, le risque n'est donc pas celui d'Alibaba seul. Elle est intégrée dans Tengine, le serveur web basé sur Nginx du groupe, qui selon FoxIO dessert le nuage et le réseau de diffusion de contenu d'Alibaba sur des propriétés comme Taobao et Alipay. Tout opérateur ayant tiré XQUIC dans sa propre pile, ou exécutant un produit qui l'embarque plus en amont, hérite de la même faiblesse, qu'il connaisse ou non la dépendance.

C'est la partie inconfortable pour quiconque exploite une infrastructure web moderne. HTTP/3 a progressé en silence à travers les réseaux CDN et les répartiteurs de charge, et les bibliothèques sous-jacentes sont partagées. Une faille dans une implémentation de QUIC largement intégrée n'est pas le problème d'un seul fournisseur, c'est une exposition de la chaîne d'approvisionnement qui surgit partout où ce code a été réutilisé. La dépendance que vous ne pouvez pas nommer est celle que vous ne pouvez pas corriger.

Le correctif est une ligne de configuration, et aucun CVE ne vous préviendra

Tant qu'une version corrigée n'est pas publiée, la parade est opérationnelle, pas un téléchargement. Vous pouvez mettre SETTINGS_QPACK_MAX_TABLE_CAPACITY à 0, ce qui coupe la table dynamique de QPACK et supprime le chemin vulnérable, ou vous pouvez retirer la prise en charge d'HTTP/3 et revenir à HTTP/2 pendant que le correctif se prépare. Ce sont deux changements qu'un opérateur applique aujourd'hui à sa propre configuration, pas une attente du cycle de correctifs d'un fournisseur.

La leçon plus large porte sur la manière dont l'alerte arrive, ou n'arrive pas. Au 10 juillet il n'y a aucun CVE pour XRING, donc toute équipe qui ne surveille que des canaux de CVE ou attend un bulletin de mardi des correctifs ne verra rien. Le geste défendable est d'inventorier où HTTP/3 et QPACK tournent vraiment dans votre parc, de confirmer quelle bibliothèque QUIC se trouve dessous, et de traiter le pas encore de CVE comme une raison d'agir, pas de se détendre.

À lire ensuite: Alibaba interdit Claude Code, jugé porte dérobée  |  Une faille de Defender donne le contrôle total du PC