Vulnerabilidad en quiche (CVE-2023-6193)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-400 Consumo de recursos no controlado (Agotamiento de recursos)

Fecha de publicación:

12/12/2023

Última modificación:

14/12/2023

Descripción

Se descubrió que quiche v. 0.15.0 a 0.19.0 era vulnerable a colas ilimitadas de mensajes de validación de ruta, lo que podría provocar un consumo excesivo de recursos. La validación de ruta QUIC (RFC 9000 Sección 8.2) requiere que el destinatario de una trama PATH_CHALLENGE responda enviando una PATH_RESPONSE. Un atacante remoto no autenticado puede explotar la vulnerabilidad enviando tramas PATH_CHALLENGE y manipulando la conexión (por ejemplo, restringiendo el tamaño de la ventana de congestión del par) de modo que las tramas PATH_RESPONSE sólo puedan enviarse a una velocidad más lenta de la que se reciben; lo que lleva al almacenamiento de datos de validación de ruta en una cola ilimitada. Las versiones de Quiche superiores a 0.19.0 solucionan este problema.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.30 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Bajo