--- title: "Yeni QPACK açıkları HTTP/3 sunucularını çökertebilir, belleği 4 bin kata kadar artırabilir" url: "https://teknotayf.com/haber/yeni-qpack-aciklari-http-3-sunucularini-cokertebilir-bellegi-4-bin-kata-kadar-artirabilir" markdown_url: "https://teknotayf.com/haber/yeni-qpack-aciklari-http-3-sunucularini-cokertebilir-bellegi-4-bin-kata-kadar-artirabilir.md" site: "teknotayf.com" language: "tr" published: "2026-10-22 09:38:31" updated: "2026-10-22 10:32:53" category: "Siber Güvenlik" tags: ["QPACK","HTTP/3 Güvenlik Açığı","Hizmet Reddi Saldırısı","Web Sunucusu"] source: "The Hacker News" --- # Yeni QPACK açıkları HTTP/3 sunucularını çökertebilir, belleği 4 bin kata kadar artırabilir > **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/yeni-qpack-aciklari-http-3-sunucularini-cokertebilir-bellegi-4-bin-kata-kadar-artirabilir > Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır. **Özet:** Güvenlik firması FoxIO, giriş yapmamış bir saldırganın tek bağlantıyla HTTP/3 sunucularını çökertebildiğini açıkladı. QPACK başlık sıkıştırmasındaki kusurlar bellek kullanımını binlerce kat artırarak hizmet reddi saldırısına yol açıyor. quic-go, quiche, lsquic ve Wireshark için düzeltmeler yayınlandı, Bun, h3 ve aioquic hâlâ yamalanmamış. - **Yayın tarihi:** 2026-10-22 09:38 - **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik) - **Etiketler:** QPACK, HTTP/3 Güvenlik Açığı, Hizmet Reddi Saldırısı, Web Sunucusu - **Yazan:** TeknoTayf.com - **Kaynak:** [The Hacker News](https://thehackernews.com/2026/10/new-qpack-flaws-can-crash-http3-servers.html) ![Yeni QPACK açıkları HTTP/3 sunucularını çökertebilir, belleği 4 bin kata kadar artırabilir](https://teknotayf.com/assets/uploads/2026/10/35b5b2f9e50183f67618983121a37221.jpg) Giriş yapmamış bir uzaktan saldırgan tek bir bağlantıyla pek çok HTTP/3 web sunucusunu çökertebiliyor. Güvenlik firması **FoxIO** bunu açıkladı ve çalışan bir kanıt kavramı kodu paylaştı. Saldırgan, bellekte çok daha büyük bir kümeye genişleyen küçük bir sıkıştırılmış HTTP başlığı paketi göndererek sunucuyu gönderdiğinden binlerce kat daha fazla bellek kullanmaya zorlayabiliyor; bu da varsayılan bir sunucuyu bellekten düşürmeye yetiyor. Açıklar yalnızca hizmet reddi saldırısına yol açıyor, veri hırsızlığı ya da kod çalıştırma kanıtı yok ve doğada saldırı raporu bulunmuyor. quic-go, Cloudflare quiche, lsquic ve Wireshark için düzeltmeler yayınlandı ancak açıklama sırasında Bun, h3 Rust kütüphanesi ve aioquic hâlâ yamalanmamıştı. FoxIO, test ettiği on HTTP/3 yığının yedisinde aynı sınıf açık buldu. Ortak neden **QPACK**'te; HTTP/3'ün tekrarlayan alanları tam metin yerine kısa kod olarak göndermek için kullandığı başlık sıkıştırma şeması bu. Sunucu başlıkları açıldıktan sonra boyutunu sınırlamalı. Etkilenen yığınlar kablodan gelen sıkıştırılmış paketi sınırlıyor ama açılmış sonucu sınırlamıyor ya da sınırı çok geç uyguluyor; böylece tek bir istek yüzbinlerce başlık girdisine genişleyip sunucu belleğinde tutulabiliyor. Etki geniş çünkü bu yığınlar yaygın yazılımların altında yer alıyor. quic-go, Caddy, Traefik ve cloudflared'ın arkasındaki Go kütüphanesi; lsquic LiteSpeed'in kütüphanesi ve LiteSpeed Web Server ile OpenLiteSpeed'te kullanılıyor; Bun'un HTTP/3 sunucusu ise lsquic üzerinde çalışıyor. Saldırganın hesap ya da özel erişime ihtiyacı yok ve HTTP/3 UDP üzerinden çalıştığı için istek, olağan filtrelemenin çoğundan önce sunucuya ulaşıyor. 22 Ekim 2026 itibarıyla hangi yığınlar düzeltildi, hangileri hâlâ açık: 4.6.2 / 4.4.12 aioquic / mitmproxy FoxIO, IIS, Envoy, ngtcp2/nghttp3 ve Google'ın quiche'inin etkilenmediğini belirtiyor; her biri başlıkları çözme sırasında açılmış hâliyle sınırlıyor, sonrasında değil. Amplifikasyon yığına göre değişiyor, FoxIO'nun varsayılan ayarlara karşı kendi testlerinde. quic-go'da 1 MB sıkıştırılmış paket yaklaşık 160.000 başlık alanına açıldı ve istekte yaklaşık 15 MB tutuldu, gönderilen baytların yaklaşık 17 katı; quic-go'nun kendi uyarısı olası genişlemenin yaklaşık 50 kat olduğunu söylüyor. İkinci bir yöntem oranı çok daha yükseğe çıkarıyor: saldırgan yaklaşık 4 KB'lık tek bir başlık girdisi saklıyor, ardından tek baytlık referanslarla binlerce kez ona işaret ediyor ve sunucu her referansta tam girdiyi yeniden oluşturuyor. FoxIO Bun'da yaklaşık **4.000 kat**, lsquic'te 600 ile 1.800 kat arasında ölçüm yaptı. Bun en kötü senaryoyu taşıyor. Bun'un belgelerinde deneysel olarak adlandırılan HTTP/3 sunucusu lsquic kullanıyor ama başlık belleğini sınırlayan kısmı kendi koduyla değiştiriyor; bu kod her başlığı kontrol ediyor ama çalışan toplamı hiç kontrol etmiyor. FoxIO, açılmış başlıklar 2 GB'ı geçince bu koddaki boyut sayacının sıfıra taşması ve sunucunun asla çıkmadığı bir döngüye girmesi buldu. FoxIO'ya göre kabloda yaklaşık 516 KB taşıyan tek bir akış sunucuyu CPU kullanımını yüzde 100'e kilitliyor ve kurtarma olmuyor, yeni istekleri engelliyor. Çalışan toplamın eksik olması taşmayı mümkün kılıyor; lsquic'in kendi 64 KB sınırı bunu önlüyor. ![](https://teknotayf.com/assets/uploads/2026/10/75bee2ea7756d64a76ae144cd463c4c5.gif) Wireshark sunucu açıklarından farklı bir durum. HTTP/3 ayırıcısı, Wireshark bir key-log dosyası kullanarak trafiği şifreliyorsa ya da şifreleme sırlarını içeren bir yakalama dosyası açıyorsa çöküyor. Bu, saldırganın ağ üzerinden ulaştığı bir sunucu değil. Wireshark bu sorun için herhangi bir istismardan haberdar olmadığını söyledi. Operatörler yukarıdaki düzeltilmiş sürümlere yükseltmeli. Düzeltmesi olmayan yığınlar için FoxIO geçici adımlar veriyor: Bun'da HTTP/3 sunucusunu açmayın; mitmproxy'de --set http3=false ile HTTP/3'ü kapatın; h3 Rust kütüphanesi için max_field_section_size ile makul bir sınır belirleyin. 16 Temmuz 2026'da yayınlanan lsquic düzeltmesi, sunucunun akış başına tuttuğu açılmış başlık küme sayısını sınırlıyor, varsayılan olarak bir. FoxIO, çalışmanın Gal Bar Nahum'un HTTP/2'ye karşı hizmet reddi tekniği "MadeYouReset" araştırmasının ardından başladığını, HTTP/3 başlık sıkıştırmasının benzer bir zayıflığa sahip olup olmadığının sorulduğunu belirtti. --- **Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/yeni-qpack-aciklari-http-3-sunucularini-cokertebilir-bellegi-4-bin-kata-kadar-artirabilir Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.