Vulnerabilidad en quicly de h2o (CVE-2026-44435)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-400 Consumo de recursos no controlado (Agotamiento de recursos)

Fecha de publicación:

16/07/2026

Última modificación:

24/10/2026

Descripción

Quicly es una implementación del protocolo QUIC de la IETF destinada principalmente para su uso dentro del servidor HTTP H2O. Antes del commit 937d0e9, se produce un fallo de aserción cuando el número total de mensajes de handshake válidos recibidos a través de un flujo CRYPTO de un único espacio de número de paquete excede los 32KB, causando una denegación de servicio. Este problema ha sido solucionado por el commit 937d0e9.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.50 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Alto