Lỗ hổng XRING trong XQUIC có thể khiến máy chủ HTTP/3 bị crash từ xa
"A flaw in Alibaba's XQUIC QUIC/HTTP/3 library, nicknamed XRING, allows a remote unauthenticated client to crash HTTP/3 servers by sending a small amount of valid QPACK traffic. The issue affects all releases through v1.9.4, has no patch or CVE yet, and can be mitigated by disabling QPACK dynamic tables or HTTP/3 support; the reported impact is denial of service, with no confirmed code execution."
Tác động chính là DoS do máy chủ HTTP/3 bị crash từ client từ xa không cần xác thực; lỗi liên quan đến underflow độ dài sao chép trong QPACK có thể dẫn tới ghi tràn bộ nhớ (chưa xác nhận khai thác).
Có thể gây gián đoạn dịch vụ HTTP/3 và tăng rủi ro downtime khi bị kích hoạt bởi lưu lượng hợp lệ; mức độ ảnh hưởng phụ thuộc vào việc hệ thống có bật HTTP/3/QPACK dynamic table hay không và khả năng triển khai biện pháp giảm thiểu nhanh.
Một lỗi trong thư viện XQUIC (QUIC/HTTP3) được công bố với tên XRING có thể khiến máy chủ HTTP/3 bị từ chối dịch vụ (DoS) chỉ bằng một lượng nhỏ lưu lượng QPACK hợp lệ. Theo nhà nghiên cứu FoxIO, lỗi không yêu cầu xác thực và không cần gói tin bị làm sai; khoảng 260 byte QPACK có thể làm tiến trình máy chủ sập. Hiện chưa có bản vá và chưa có CVE được ghi nhận (tính đến 10/07/2026).
XRING ảnh hưởng đến mọi bản phát hành của XQUIC từ trước v1.9.4. Vì XQUIC là mã nguồn mở, rủi ro không chỉ giới hạn ở một nhà cung cấp: bất kỳ máy chủ nào tích hợp XQUIC và bật HTTP/3 với cấu hình QPACK mặc định đều có thể bị ảnh hưởng. FoxIO cũng nêu rằng Tengine (máy chủ web dựa trên Nginx) có thể là một bề mặt phơi nhiễm.
Về kỹ thuật, lỗi nằm ở cách XQUIC quản lý bộ đệm ring cho QPACK khi tăng kích thước dynamic table; một phép tính sai dẫn đến độ dài sao chép bị underflow và có thể gây ghi tràn bộ nhớ. Tuy nhiên, báo cáo chỉ chứng minh crash, chưa xác nhận khai thác thực thi mã.
Khuyến nghị: tạm thời tắt QPACK dynamic table bằng cách đặt SETTINGS_QPACK_MAX_TABLE_CAPACITY = 0 hoặc vô hiệu hóa HTTP/3 cho đến khi có bản sửa.