yohannslm/cve-2025-54939POC for CVE-2025-54939. ~ forcibly loads 200MiB/s in server's memory
Ce PoC met en évidence CVE-2025-54939, une vulnérabilité d'épuisement de mémoire avant l'établissement de la liaison (déni de service) dans l'implémentation QUIC de LSQUIC. Ce problème, nommé QUIC-LEAK, a été documenté pour la première fois par Imperva : https://www.imperva.com/blog/quic-leak-cve-2025-54939-new-high-risk-pre-handshake-remote-denial-of-service-in-lsquic-quic-implementation/
Versions concernées • LSQUIC < 4.3.1 • OpenLiteSpeed < 1.8.4 • LiteSpeed Web Server < 6.3.4
Une fuite de mémoire dans lsquic_engine_packet_in, déclenchée avant l'établissement de la liaison, permet à des attaquants distants d'épuiser la mémoire et de faire planter le serveur.
> Modify poc/entrypoint.sh to specify host. By default, it targets the litespeed container.
> docker compose up --build
> docker stats
En plus de ce qui est décrit dans l'article de blog, il a été observé que le paquet QUIC initial n'a pas besoin d'être complètement valide (simplement 8 octets SCID et DCID). Cela signifie que plus de paquets pourraient être inclus que dans les exemples présentés dans l'article
Ce PoC est destiné uniquement à des fins éducatives et de tests de sécurité autorisés. Ne l'utilisez pas contre des systèmes sans autorisation explicite.