Шесть уязвимостей в quinn-proto (QUIC): удалённый пир вызывает панику или исчерпание памяти

В секбилитете протокольной библиотеки QUIC quinn-proto вышло шесть бюллетеней (12.10.2026): удалённый пир способен вызвать панику процесса или исчерпание памяти. Среди проблем — нулевые STREAM и DATAGRAM кадры, обход защиты от исчерпания памяти при сборке потоков и рост незакрытых смен Connection ID.

Паники (CVSS 7.5)

• 0338 — паника при неупорядоченном чтении нулевых STREAM-кадров;
• 0340 — паника от минимальной задержки ACK пира при включённом ACK_FREQUENCY;
• 0343 — учёт исходящего datagram-буфера может вызвать панику отправителя.

Исчерпание памяти и обходы защиты

• 0339 — неограниченный рост отложенных смен Connection ID;
• 0341 — обход защиты против исчерпания памяти при сборке потоков (7.5);
• 0342 — нулевые DATAGRAM-кадры обходят лимит приёмного буфера.

Что делать

Исправления — в версиях 0.11.17 и 0.11.18 (в зависимости от проблемы). quinn-proto — протокольный слой библиотеки QUIC quinn (используется с tokio и в HTTP/3), поэтому обновления важны для серверов и клиентов на QUIC.

Оригинал

Remote peer can panic quinn-proto with zero-length STREAM frames during unordered reads; Unbounded growth of pending connection ID retirements; Peer minimum ACK delay can panic quinn-proto when ACK_FREQUENCY transmission is enabled; Stream reassembly memory-exhaustion guard can be bypassed; Zero-length DATAGRAM frames bypass the receive buffer limit; Outgoing datagram buffer accounting can panic the sender.