HTTP/3曝QPACK放大攻击漏洞：小请求可耗尽服务器内存

安全研究人员披露了一种针对HTTP/3服务器的QPACK放大攻击手法。HTTP/3是下一代HTTP协议，基于QUIC传输协议运行于UDP之上，而QPACK是其中负责HTTP头部压缩的关键机制，用于减少重复头部字段带来的带宽开销。放大攻击的核心原理在于利用协议处理过程中的资源消耗不对称性：攻击者只需发送精心构造的少量数据，即可迫使服务器分配大量内存或执行高强度解码运算，以极低的攻击成本耗尽目标资源。在QPACK场景下，攻击者可通过构造特殊的编码序列，令服务器在解压头部时产生远超预期的内存占用，形成内存消耗型拒绝服务（DoS）攻击。安全公司FoxIO发布了相关技术分析。该漏洞披露后在Hacker News社区引发讨论，有开发者指出，此类攻击属于DoS及内存消耗类范畴，其潜在危害低于同日披露的其他安全漏洞，因为它主要影响服务可用性，而非直接导致数据泄露或远程代码执行。目前HTTP/3正处于快速普及阶段，主流云服务商、CDN厂商及浏览器已广泛支持该协议。此类协议层面漏洞提醒业界，新协议在部署阶段需充分评估实现中的资源限制策略，服务器运营商可通过配置内存上限、请求速率限制等缓解措施降低风险。

事件分析

核心观点：协议越复杂攻击面越宽，HTTP/3的性能红利背后，头部压缩机制正成为低成本DoS攻击的新入口。