Um pesquisador da FoxIO, Sébastien Féry, divulgou uma falha no XQUIC, biblioteca QUIC e HTTP/3 da Alibaba, que permite que qualquer cliente remoto derrube o servidor com um curto surto de tráfego completamente legal. A falha, apelidada de XRING, não requer login e nem pacotes malformados; cerca de 260 bytes de tráfego QPACK comum são suficientes para derrubar o servidor. Não há patch disponível.
A falha está relacionada a uma variável errada em uma linha do XQUIC.
Recomendações
Verificar a configuração do servidor HTTP/3.
Monitorar o tráfego de rede para detectar possíveis ataques.
Considerar a atualização para uma versão corrigida do XQUIC, se disponível.
