LSQUIC における QUIC-LEAK (CVE-2025-54939) の PoC

概要

この PoC は、LSQUIC QUIC 実装におけるハンドシェイク前のメモリ枯渇（サービス拒否）脆弱性である CVE-2025-54939 を紹介します。 QUIC-LEAK と名付けられたこの問題は、Imperva によって最初に文書化されました: https://www.imperva.com/blog/quic-leak-cve-2025-54939-new-high-risk-pre-handshake-remote-denial-of-service-in-lsquic-quic-implementation/

脆弱性

影響を受けるバージョン • LSQUIC < 4.3.1 • OpenLiteSpeed < 1.8.4 • LiteSpeed Web Server < 6.3.4

問題

ハンドシェイク前にトリガーされる lsquic_engine_packet_in のメモリリークにより、リモート攻撃者がメモリを枯渇させ、サーバーをクラッシュさせることができます。

再現手順

> Modify poc/entrypoint.sh to specify host. By default, it targets the litespeed container.
> docker compose up --build
> docker stats

ブログ記事に記載されている内容に加えて、最初の QUIC パケットは完全に有効である必要はない（単に 8 バイトの SCID と DCID だけでよい）ことが観察されました。この点は、記事で示されている例よりも多くのパケットを含めることができることを意味します。

免責事項

この PoC は、教育目的および許可を得たセキュリティテスト専用です。 明示的な許可なしにシステムに対して使用しないでください。