XRING: Kritische DoS-Schwachstelle in Alibabas XQUIC

Überblick

• Sicherheitsforscher Sébastien Féry (FoxIO) veröffentlichte am 8. Juli die Schwachstelle XRING.
• Betroffen ist XQUIC, Alibabas Open-Source-Bibliothek für QUIC und HTTP/3.
• Ein entfernter Angreifer kann den Server ohne Authentifizierung und ohne fehlerhafte Pakete zum Absturz bringen.
• Ein Patch oder eine CVE existieren derzeit nicht.

Betroffene Systeme

• Alle XQUIC-Versionen bis einschließlich v1.9.4.
• Gefährdet sind alle Anwendungen, die XQUIC mit den Standard-QPACK-Einstellungen einsetzen.
• Dazu zählt unter anderem Tengine (Alibabas Nginx-basierter Webserver), der laut FoxIO für Cloud- und CDN-Dienste wie Taobao und Alipay verwendet wird.

Ursache der Schwachstelle

• Die Schwachstelle liegt in der QPACK-Implementierung, die HTTP/3 zur Header-Kompression verwendet.
• Beim Vergrößern des Ringpuffers für die dynamische Header-Tabelle wird in einem Codepfad die neue statt der alten Puffergröße zur Berechnung verwendet.
• Dadurch wird die Größe der zu kopierenden Daten überschätzt.
• Eine anschließende Berechnung mit dem vorzeichenlosen Datentyp size_t führt zu einem Integer-Underflow, wodurch eine extrem große Kopierlänge entsteht.
• Das resultiert in einem Out-of-Bounds-Speicherzugriff.

Auswirkungen

• In den Tests von FoxIO wurde der Prozess unter Ubuntu durch glibc _FORTIFY_SOURCE=2 beendet.
• Ohne diese Schutzfunktion kann es zu Speicherkorruption kommen.
• Nachgewiesen wurde bislang lediglich ein Denial-of-Service (Server-Absturz); eine Codeausführung wurde nicht bestätigt.

Angriff

• Der Angriff benötigt lediglich etwa 260 Byte gültigen QPACK-Verkehrs.
• Es werden ausschließlich protokollkonforme HTTP/3/QPACK-Nachrichten verwendet.
• Voraussetzung ist lediglich, dass der Angreifer den internen Zustand der QPACK-Tabelle in eine bestimmte Konfiguration bringt.

Übergangslösungen

Bis ein Patch verfügbar ist, empfehlen sich:

• SETTINGS_QPACK_MAX_TABLE_CAPACITY = 0, um die dynamische QPACK-Tabelle zu deaktivieren.
• Alternativ HTTP/3 vollständig deaktivieren.

Einordnung

XRING reiht sich in mehrere aktuelle Schwachstellen der HTTP/2- und HTTP/3-Implementierungen ein:

• CVE-2026-42530: Use-after-Free in NGINXs HTTP/3-Modul über denselben QPACK-Encoder-Stream.
• HTTP/2 Bomb: DoS-Angriff auf Nginx, Apache, IIS und Envoy über HPACK.
• HAProxy QUIC-Schwachstellen: Zwei QUIC-Abstürze, darunter ebenfalls ein Integer-Underflow.

Offenlegung

• FoxIO meldete die Schwachstelle erstmals am 7. April gemäß Alibabas Security-Policy.
• Nach vier weiteren Kontaktversuchen bis Anfang Mai erfolgte laut FoxIO keine Reaktion.
• Deshalb wurde die Schwachstelle schließlich öffentlich gemacht.
• Hinweise auf eine aktive Ausnutzung in freier Wildbahn liegen derzeit nicht vor.