O que 260 bytes fazem de facto

A falha, divulgada a 8 de julho pelo investigador da FoxIO Sebastien Fery e apelidada de XRING, reside no QPACK, o esquema de compressão de cabeçalhos em que o HTTP/3 se apoia. Nenhum valor do ataque quebra as regras do QPACK. O XQUIC anuncia por omissão um limite de tabela dinâmica de 16 KiB; a carga pede 64 bytes, depois 65, e empurra a tabela para a disposição de memória envolvida exata que atinge um ramo defeituoso. O processo do servidor cai. Sem credenciais, sem pacotes sobredimensionados, nada que uma firewall assinale como malformado.

É isso que a torna perigosa. A maioria da filtragem contra negações de serviço procura volume ou entradas claramente más, e o XRING não é nenhuma das duas. É um pedido pequeno e bem formado que um cliente normal poderia enviar por acidente, e faz o seu estrago no caminho de análise antes de correr qualquer lógica da aplicação. Toda a versão do XQUIC até à v1.9.4, a atual, está afetada, e não existe versão corrigida para a qual atualizar.

Porque pode estar a corrê-lo sem saber

O XQUIC é a biblioteca QUIC e HTTP/3 de código aberto da Alibaba, pelo que o risco não é só da Alibaba. Vai embutido no Tengine, o servidor web baseado em Nginx da empresa, que segundo a FoxIO serve a nuvem e a rede de entrega de conteúdos da Alibaba em propriedades como o Taobao e o Alipay. Qualquer operador que tenha metido o XQUIC na sua própria pilha, ou que corra um produto que o traga mais acima, herda a mesma fraqueza, saiba ou não que a dependência está lá.

Esta é a parte incómoda para quem opera infraestrutura web moderna. O HTTP/3 cresceu em silêncio através de redes CDN e balanceadores de carga, e as bibliotecas por baixo são partilhadas. Uma falha numa implementação de QUIC muito embutida não é o problema de um só fornecedor, é uma exposição da cadeia de fornecimento que aparece onde quer que esse código tenha sido reutilizado. A dependência que não consegue nomear é a que não consegue corrigir.

A correção é uma linha de configuração, e nenhum CVE o avisa

Até sair uma versão corrigida, a mitigação é operacional, não um descarregamento. Pode colocar SETTINGS_QPACK_MAX_TABLE_CAPACITY a 0, o que desliga a tabela dinâmica do QPACK e remove o caminho vulnerável, ou pode retirar o suporte a HTTP/3 e voltar ao HTTP/2 enquanto a correção se prepara. Ambas são alterações que um operador aplica hoje à sua própria configuração, não uma espera pelo ciclo de correções de um fornecedor.

A lição mais ampla é sobre como o aviso chega, ou como não chega. A 10 de julho não há CVE para o XRING, por isso qualquer equipa que só vigie canais de CVE ou espere um boletim de terça-feira de correções não verá nada. O passo defensável é inventariar onde o HTTP/3 e o QPACK correm de facto no seu parque, confirmar que biblioteca QUIC está por baixo, e tratar a ausência de um CVE como razão para agir, não para descansar.

Leia a seguir: Alibaba proíbe Claude Code por risco de porta dos fundos  |  Uma falha do Defender dá o controlo total do PC