AlibabaのHTTP/3ライブラリに未対策のバグ「XRING」判明、通常の通信だけでサーバーがクラッシュ

要点

• AlibabaのQUICおよびHTTP/3用ライブラリ「XQUIC」に、サーバーを強制終了させられる脆弱性「XRING」が発見された。

• 不正なパケットやログインは不要で、約260バイトの仕様に準拠した通常の通信データのみで攻撃が可能である。

• 最新版を含むすべてのバージョンが影響を受け、現時点で公式の修正パッチやCVE番号は公開されていない。

• 暫定の回避策として、設定変更によりQPACKの動的テーブルを無効化するか、HTTP/3サポートを停止することが推奨されている。

• 発見者のFoxIOがAlibabaへ複数回連絡したものの応答がなく、報告から約3か月を経て詳細が一般公開された。

• セキュリティ企業FoxIOのリサーチャー、Sébastien Féry氏は2026年7月8日、Alibabaが開発するQUICおよびHTTP/3用のオープンソースライブラリ「XQUIC」に、リモートからサーバーをクラッシュさせられる脆弱性が存在することを発表した。「XRING」と名付けられたこの脆弱性は、現在も修正パッチが提供されていない。

影響を受ける範囲

XQUICは、次世代の高速なWeb通信規格である「HTTP/3」やその基盤プロトコル「QUIC」を実装するためのオープンソースライブラリである。これを組み込んでHTTP/3を利用しているすべてのWebサーバーが影響を受ける。特に、Alibabaの「Taobao」や「Alipay」などの大規模サービスや、同社クラウドの前面で稼働しているNginxベースのWebサーバー「Tengine」でも利用されているため、広範な影響が懸念されている。

技術的な仕組みとバグの発生原因

この脆弱性は、HTTP/3で通信データを効率化するヘッダー圧縮技術「QPACK（重複するヘッダー情報を圧縮するための仕様）」の処理において発生する。QPACKは、同じヘッダー情報を繰り返し送信する無駄を防ぐため、クライアントの指示によってサーバー側に「動的テーブル」と呼ばれる共有辞書を構築・リサイズする仕組みを持つ。
XQUICはこのテーブル用メモリとして、「リングバッファ（データの終端に達すると先頭に戻って循環利用するメモリ管理方式）」を採用している。クライアントからテーブルサイズを拡張する要求を受けると、XQUICは新しいメモリ領域を確保し、古いバッファからデータをコピーする。
このコピー処理の分岐ケースの1つにおいて、未コピーのテールデータのサイズを算出する際、古いバッファの容量ではなく、新しく確保した大きなバッファの容量を誤って参照するバグが存在する。例えば、64バイトから65バイトへ拡張する際、実際には6バイトのデータを移動すべきところを、誤って70バイト移動すると算出してしまう。この誤った数値をもとにメモリコピーを実行すると、減算処理において「アンダーフロー（数値が最小値未満になった際に最大値に回り込んでしまう計算エラー）」が発生し、コピーすべき長さが最大値近くに膨れ上がる。

影響と暫定回避策

FoxIOがテストした環境では、コンパイラの保護機能であるglibcの「_FORTIFY_SOURCE=2」がこの異常なコピー長さを検知してプロセスを安全に強制終了させた。しかし、この保護機能がない環境ではバッファ領域を超えてデータが書き込まれる「境界外書き込み（確保されたメモリ領域の外側にデータを書き込んでしまう脆弱性）」が発生する。Féry氏はクラッシュを実証したものの、このメモリ破壊をさらに悪用して任意のコードを実行可能かについてはテストしていない。
現在、修正プログラムが提供されていないため、XQUICの設定値 SETTINGS_QPACK_MAX_TABLE_CAPACITY を 0 に変更して動的テーブルを無効化するか、またはサーバーにおけるHTTP/3サポート自体を完全に無効化することが推奨されている。

容易な攻撃と過去の類似脆弱性

本脆弱性を突く攻撃は、QPACKの仕様上まったく「合法」なデータ送信のみで完結する。クライアントがテーブルのサイズ拡張要求を送り、リングバッファを特定のレイアウトに誘導するだけでバグが発生するため、不正なパケットやログインは一切不要である。わずか約260バイトの通常の通信データだけでサーバーをダウンさせることができる。バグは2022年1月の最初の公開時から存在しており、すでに検証用のPoC（概念実証コード：脆弱性の存在を証明するための検証用プログラム）が公開されている。
近年、通信スタックを狙ったクラッシュ脆弱性は相次いでいる。3週間前にはNGINXのHTTP/3モジュールでQPACKを悪用した脆弱性が報じられたほか、6月にはHPACKを悪用してDoS攻撃を引き起こす「HTTP/2 Bomb」が発見され、2月にはHAProxyでもQUICのクラッシュバグが修正されている。

報告と公開の経緯

FoxIOは2026年4月7日、プロジェクトのセキュリティポリシーに従ってAlibabaにメールで本件を報告した。同ポリシーでは3営業日以内の返信が約束されていたが、FoxIOが5回にわたり追跡調査を行ったものの応答は得られず、報告から約3か月が経過した7月8日に情報が一般公開された。ニュースメディアのThe Hacker Newsは、Alibabaに対して修正パッチやCVEの発行予定について問い合わせを行っている。