LSQUIC의 QUIC-LEAK (CVE-2025-54939) PoC

개요

이 PoC는 LSQUIC QUIC 구현에서 핸드셰이크 전 메모리 고갈(서비스 거부) 취약점인 CVE-2025-54939를 강조합니다. QUIC-LEAK이라 명명된 이 문제는 Imperva에 의해 처음 문서화되었습니다: https://www.imperva.com/blog/quic-leak-cve-2025-54939-new-high-risk-pre-handshake-remote-denial-of-service-in-lsquic-quic-implementation/

취약점

영향받는 버전 • LSQUIC < 4.3.1 • OpenLiteSpeed < 1.8.4 • LiteSpeed Web Server < 6.3.4

문제

핸드셰이크 전에 트리거되는 lsquic_engine_packet_in의 메모리 누수로 인해 원격 공격자가 메모리를 고갈시켜 서버를 충돌시킬 수 있습니다.

재현 단계

> Modify poc/entrypoint.sh to specify host. By default, it targets the litespeed container.
> docker compose up --build
> docker stats

블로그 게시물에서 설명된 내용 외에도, 초기 QUIC 패킷이 완전히 유효할 필요가 없다는 것이 관찰되었습니다(단순히 8바이트 SCID 및 DCID). 이는 기사에 제시된 예시보다 더 많은 패킷이 포함될 수 있음을 의미합니다.

면책 조항

이 PoC는 교육 및 승인된 보안 테스트 목적으로만 사용됩니다. 명시적 허가 없이 시스템에 사용하지 마십시오.