PT-2025-7548 · Picoquic · Picoquic

Ncc-Pbottine · Publicado 2025-02-20 · Atualizado 2025-02-20 · CVE-2025-24946

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L

Nome do Software Vulnerável e Versões Afetadas Versões do picoquic anteriores a b80fd3f

Descrição A tabela hash utilizada para gerenciar conexões no picoquic utiliza uma função hash fraca, permitindo que atacantes remotos causem uma carga de CPU considerável no servidor ao iniciar conexões com Source Connection IDs (SCIDs) em colisão, resultando em um ataque Hash DoS.

Recomendações Para as versões do picoquic anteriores a b80fd3f, atualize para uma versão posterior a b80fd3f para resolver o problema. Como medida de contorno temporária, considere implementar medidas para detectar e prevenir conexões com Source Connection IDs (SCIDs) em colisão, a fim de minimizar o risco de exploração.

Correção

Enumeração de Fraquezas

CWE-407

Identificadores relacionados

CVE-2025-24946

Produtos afetados

Picoquic

Referências · 7

• https://github.com/private-octopus/picoquic/commit/b80fd3f5903279ae3e7714ee4109363d9ab4491a · Nota
• https://github.com/ncc-pbottine/QUIC-Hash-Dos-Advisory · Nota
• https://t.me/cvedetector/18514 · Publicação no Telegram
• https://t.me/cvenotify/111850 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1892409494065270868 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-24946 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-24946 · Nota de Segurança