LSQUIC 中 QUIC-LEAK（CVE-2025-54939）的 PoC

概述

此 PoC 展示了 CVE-2025-54939，即 LSQUIC QUIC 实现中的一个握手前内存耗尽（拒绝服务）漏洞。 该问题被命名为 QUIC-LEAK，最早由 Imperva 记录： https://www.imperva.com/blog/quic-leak-cve-2025-54939-new-high-risk-pre-handshake-remote-denial-of-service-in-lsquic-quic-implementation/

漏洞

受影响版本 • LSQUIC < 4.3.1 • OpenLiteSpeed < 1.8.4 • LiteSpeed Web Server < 6.3.4

问题

lsquic_engine_packet_in 中的内存泄漏在握手前被触发，允许远程攻击者耗尽内存并使服务器崩溃。

复现步骤

> Modify poc/entrypoint.sh to specify host. By default, it targets the litespeed container.
> docker compose up --build
> docker stats

除了博客文章中描述的内容外，还观察到初始 QUIC 数据包不需要完全有效（仅需 8 字节的 SCID 和 DCID）。这意味着可以包含比文章中示例更多的数据包。

免责声明

此 PoC 仅用于教育和经授权的安全测试。 未经明确许可，请勿将其用于针对系统的测试。