HTTP/3のQPACKを悪用するDoS「Header Accordions」　FoxIOが10実装中7つで確認、quic-goやquicheは修正済み、Bunやh3は未修正

FoxIOのブログによると、QPACKで展開されたヘッダーの総量を適切に制限していない実装では、小さなリクエストでサーバーに大量のメモリを確保させることができ、認証は不要。テストした10実装のうち7つが該当した。quic-go 0.57.0（CVE-2025-64702）、Cloudflare quiche 0.29.3（CVE-2026-12523）、lsquic 4.9.0、Wireshark 4.6.2／4.4.12（CVE-2025-13945）は修正済み。Bun 1.4.3では約4,000倍の増幅とCPU使用率100%の無限ループ、hyperiumのh3では32,768エントリでのpanicが確認され、aioquic／mitmproxyとともに公開時点で未修正。緩和策として、BunのHTTP/3サーバーを外部に公開しない、mitmproxyでは--set http3=falseを指定する、h3ではmax_field_section_sizeを設定する方法が示されている。IIS、Envoy、Googleのquiche、ngtcp2／nghttp3は影響を受けない。quic-goはCaddy、Traefik、cloudflaredで使われている。