JVNDB-2026-027443

H2O.aiのquiclyにおける複数の脆弱性

Quiclyは、主にH2O HTTPサーバー内での使用を目的としたIETFのQUICプロトコルの実装です。コミット8b178e6以前のバージョンでは、敵対的なピアが最大オフセットで1バイトだけを運ぶSTREAMフレームを送信することで、追加のフロー制御クレジットを取得でき、特定の状況下ではサービス拒否（DoS）につながる可能性がありました。アプリケーションが受信バッファを、最大オフセットまで届く順序外のすべてのデータを格納するために準備している場合、この動作によりピアがわずか数パケットを送信するだけで大量のメモリが割り当てられ、メモリ不足に陥る可能性があります。受信バッファの割り当て戦略に加えて、この脆弱性の深刻度はアプリケーションがストリームの同時実行をどのように制御しているかにも依存します。H2O HTTPサーバーの場合はデフォルト設定で、このバグによって接続ごとに割り当てられる最大メモリ量が約4倍に増加します。この問題はコミット8b178e6によって修正されました。

H2O.ai

• quicly 2026-05-29 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : memory exhaustion  Advisory  h2o/quicly  GitHub

1. リソースの枯渇(CWE-400) [その他]
2. 制限またはスロットリング無しのリソースの割り当て(CWE-770) [その他]

1. CVE-2026-44433

1. National Vulnerability Database (NVD) : CVE-2026-44433
2. 関連文書 : Merge commit from fork  h2o/quicly@8b178e6  GitHub

• [2026年08月10日]
    掲載