Unbounded Chunked Cookie Count Triggers O(n²) Session Cleanup DoS in h3

h3 漏洞总结：无界分块 Cookie 数量导致的会话清理循环 DoS 漏洞概述 漏洞名称：通过无界分块 Cookie 数量在会话清理循环中触发拒绝服务（DoS） 漏洞类型：拒绝服务（DoS） 严重等级：中危（CVSS v3.1 基础分 5.3） 根因： 解析用户可控的 Cookie 头（如 ）时，未对解析出的分块数量设置上限。攻击者可发送单个请求携带超大分块计数，使服务器进入 O(n²) 循环，导致进程挂起。 受影响版本：>= 2.0.0-beta.4 修复版本：>= 2.0.1-rc.18 CVE：CVE-400-...（页面显示为 CVE-400-） 攻击向量：网络；攻击复杂度：低；所需权限：无；用户交互：无 影响范围 受影响包： （npm） 影响： - 完全 DoS：单个未认证请求（27 字节 Cookie 头）即可挂起服务器进程 - 无需认证：攻击者只需发送带构造 Cookie 头的 HTTP 请求 - 最小化攻击载荷： - 广泛攻击面：任何使用 或 的端点均易受攻击 - 会话使用在 Web 应用中极为普遍 - 放大效应：攻击者输入（27 字节）与服务器工作量（数十亿次操作）之比极大 利用链（通过会话） 1. 攻击者发送 到任意使用会话的端点 2. 调用 （第 124 行） 3. 返回 —— 第 153 行的早期返回，因为不存在实际的分块 Cookie（h3.1 中不存在） 4. 由于 未定义， 使用新的密封会话值（第 143 行） 5. 调用 ，带有新的密封会话值（第 170 行） 6. 读取 后， 在 182 行读取原始请求 Cookie 7. ， （因为密封会话很小） 8. 清理循环运行 999,998 次迭代，每次迭代调用 （第 91 行）并遍历它们以进行去重（第 106-108 行） 9. 清理循环运行 999,998 次迭代，每次迭代调用 （第 91 行）并遍历它们以进行去重（第 106-108 行） 10. 清理循环运行 999,998 次迭代，每次迭代调用 （第 91 行）并遍历它们以进行去重（第 106-108 行） 关键观察： 存在早期返回操作数（第 153 行），可防止缺失分块时的循环。但清理循环（ 和 ）没有此类保护，会对完整的声明分块计数无条件运行。 POC 代码 最小服务器示例 攻击（单请求，无需认证） 较小但仍有影响的测试 通过 clearSession() 的 deleteChunkedCookie() 路径 推荐修复 在 中添加最大分块计数常量并进行校验： 此修复将解析出的分块数限制在安全上限。由于每个分块最多可容纳 ~4000 字节，100 个分块最多约 ~400KB 的 Cookie 数据（超出实际使用范围）。~100 个分块在消除 DoS 的同时仍属合理。此外，调用方应更新以安全处理 。由于 为 ， 循环也会正确处理 。

目標達成すべての支援者に感謝 — 100%達成しました！

Unbounded Chunked Cookie Count Triggers O(n²) Session Cleanup DoS in h3

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

Unbounded Chunked Cookie Count Triggers O(n²) Session Cleanup DoS in h3

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！