JVNDB-2026-027442

H2O.aiのquiclyにおける複数の脆弱性

Quiclyは主にH2O HTTPサーバ内での使用を目的としたIETFのQUICプロトコル実装です。コミットdccf5d4以前のQuiclyには、パケットエントリの検証不足により、ステートレスリセットの挿入に対する脆弱性がありました。QUICプロトコルはハンドシェイク完了後にパケット挿入攻撃に耐えるよう設計されており、ステートレスリセットとして扱われるのは特定の秘密パターンを含むパケットのみです。Quiclyはピアが接続ごとに最大4つのそのようなパターンを共有することを許可しています。しかしながら、これまでのところ、秘密パターンを保持するために使用される4つのスロットのうち、どのスロットに有効なエントリがあるかを判別できていませんでした。スロットはゼロで初期化されているため、この判別の失敗により、ピアが4つのパターンすべてを広告しない限り、全ゼロパターンがステートレスリセットとして誤って扱われてしまいました。その結果、この問題によって経路上の攻撃者がQuiclyを利用したQUIC接続をリセットすることが可能になっていました。本問題はコミットdccf5d4により修正されました。

H2O.ai

• quicly 2026-05-29 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアの一部が停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : stateless reset injection  Advisory  h2o/quicly  GitHub

1. データの信頼性についての不十分な検証(CWE-345) [その他]
2. 不適切な初期化(CWE-665) [その他]

1. CVE-2026-44434

1. National Vulnerability Database (NVD) : CVE-2026-44434
2. 関連文書 : Merge commit from fork  h2o/quicly@dccf5d4  GitHub

• [2026年08月10日]
    掲載