JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-024808 Quiclyは主にH2O HTTPサーバ内での使用を目的としたIETFのQUICプロトコル実装です。コミット8b178e6以前のQuiclyには、接続状態の破損を伴うサービス拒否（DoS）攻撃に対する脆弱性が存在していました。QUICの不変条件によれば、コネクションIDの最大長は255バイトですが、QUICバージョン1ではさらに最大20バイトに制限されています。QuiclyはQUICバージョン1を実装しているため、そのCIDバッファは20バイトに制限されています。しかし、未知のQUICバージョンに対応するためにパケットデコーダは最大255バイトのコネクションIDを受け入れます。CIDバッファが20バイトしかないため、Quiclyは20バイトを超えるコネクションIDを持つQUICバージョン1パケットを拒否しなければなりません。Quiclyに付属するコマンドラインツールにはこのチェックがありましたが、ライブラリ自体にはその強制機能が欠けていました。その結果、独自の強制機能を持たないアプリケーションで使用された場合、接続状態が不整合となってバッファオーバーランが発生しました。幸いにもオーバーフローは割り当てられたメモリ領域内で止まりますが、それでもこのバグによりアサーション失敗が発生します。この問題はコミット8b178e6で修正されました。 cpe:/a:h2o:quicly https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-024808.html Common Vulnerabilities and Exposures (CVE) CVE-2026-44436 https://www.cve.org/CVERecord?id=CVE-2026-44436 National Vulnerability Database (NVD) CVE-2026-44436 https://nvd.nist.gov/vuln/detail/CVE-2026-44436 GitHub connection state corruption Advisory h2o/quicly GitHub https://github.com/h2o/quicly/security/advisories/GHSA-v55w-59qx-2v78 JVNDB CWE-787 https://cwe.mitre.org/data/definitions/787.html JVNDB CWE-120 https://cwe.mitre.org/data/definitions/120.html 関連文書 Merge commit from fork h2o/quicly@8b178e6 GitHub https://github.com/h2o/quicly/commit/8b178e692c51a3b1031612ef89f03a53aac63c15 2026-07-23T10:41:53+09:00 2026-07-23T10:41:53+09:00