---

CVE-2026-6060 – Amplificación del handshake QUIC mediante la omisión de la validación de dirección

Código del programa (simulación en Python)

# quic_server_sim.py - Vulnerable QUIC server (simulated handshake)
import socket

def send_quic_initial(conn, addr, server_salt):
    # Respond with a large "server hello" without validating source address
    # In real QUIC, the server must echo the client's token; here we skip that.
    payload = b'\x00' * 1200  # large response
    conn.sendto(payload, addr)

server_socket = socket.socket(socket.AF_INET, socket.SOCK_DGRAM)
server_socket.bind(('0.0.0.0', 4433))
print("QUIC server on :4433")

while True:
    data, addr = server_socket.recvfrom(1024)
    # Vulnerability: respond to any initial packet, no token verification
    send_quic_initial(server_socket, addr, b'salt')

CVE-2026-6060 – Amplificación del handshake QUIC mediante la omisión de la validación de dirección

Descripción general

Una implementación de servidor QUIC no aplica la validación de la dirección de origen durante el handshake, lo que permite a un atacante enviar un pequeño paquete inicial con una IP de origen falsificada. El servidor responde con un paquete mucho más grande, lo que permite la amplificación de DDoS.

Detalles de la vulnerabilidad

• Tipo: Ataque de amplificación
• Impacto: Reflexión de red, DDoS.
• Causa raíz: El servidor no exige que el cliente repita un token (validación de dirección) antes de enviar un "server hello" grande, lo que infringe el RFC 9000.

Demostración del exploit

1. Inicie el servidor QUIC vulnerable:

   python quic_server_sim.py
   

2. En un ataque real, un atacante enviaría un paquete UDP con la IP de origen falsificada. Para la demostración, solo mostraré el factor de amplificación: una solicitud de 1 byte provoca una respuesta de 1200 bytes.