L3 · 拉裤子了HTTP/3 · DoS · QPACKqpack-header-accordions

HTTP/3：头部压缩了，管道撑爆了

Header Accordions 研究披露多个 HTTP/3 协议栈中的 QPACK 拒绝服务路径

FoxIO 于 10月20日发布跨协议栈 QPACK 研究及复现代码。解码后头部缺少限制或检查过晚，会耗尽内存或卡死服务器。部分组件此前已修复；披露时 Bun、hyperium h3 和 aioquic/mitmproxy 仍存在未解决路径。

披露时间: 2026年10月20日; 公开披露日期
严重程度: CVSS 7.5 × 1; 本页收录 3 个 CVE
波及范围: 暴露受影响 HTTP/3 协议栈的应用；Wireshark 另有抓包解析问题; quic-go · quiche · bun · rust · python
在野利用: 未发现; 已有公开复现代码；所引报告未确认在野攻击

发生了什么

本条记录的是新公开的跨协议栈研究，不意味着所有列出的 CVE 都在本周披露。应用若内嵌旧库，早期修复版本仍然有意义。公开复现代码和主流依赖的影响足以达到 L3；所引材料没有证明正在发生在野攻击。

CVE-2025-64702CVSS 5.3

客户端和服务端解码后的头部超出按压缩体积计算的预算。

CVE-2026-12523CVSS 7.5

HTTP/3 帧分配与 QPACK 计数会允许过量内存使用。

CVE-2025-13945

解密 HTTP/3 流量或加载包含解密密钥的抓包时，解析器可能崩溃。

我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。