XQUICの未修正脆弱性「XRING」、正規のHTTP/3通信でサーバー停止

Alibabaが公開するQUIC・HTTP/3ライブラリ「XQUIC」に、遠隔からサーバープロセスを停止させられる脆弱性「XRING」が報告されています。認証や不正形式のパケットを必要とせず、約260バイトの正規仕様に沿った通信でサービス拒否を引き起こす可能性があります。
The Hacker News：Unpatched XRING Flaw in XQUIC Lets Remote Clients Crash HTTP/3 Servers

CyberCrewのペネトレーションテストを
詳しく知る CyberCrewへのお問い合わせ・
無料見積もりはこちら

この記事のポイント

影響のあるシステム

Alibabaが公開するQUIC・HTTP/3ライブラリ「XQUIC」を組み込んだサーバー
XQUIC v1.9.4までのすべての公開バージョン
HTTP/3を提供し、QPACKの動的テーブルを有効にしている環境
XQUICを使用してHTTP/3に対応しているTengineなどのWebサーバー
XQUICを製品やサービス内部の依存ライブラリとして組み込んでいるシステム

推奨される対策

使用中のWebサーバーやネットワーク製品にXQUICが組み込まれていないか確認してください。
XQUICを使用している場合は、HTTP/3およびQPACKの動的テーブルが有効になっているか確認してください。
修正版が提供されるまで、SETTINGS_QPACK_MAX_TABLE_CAPACITYを0に設定し、QPACKの動的テーブルを無効化してください。
設定変更が難しい場合は、暫定的にHTTP/3を無効化し、HTTP/2またはHTTP/1.1へ切り替えてください。
XQUICの公式リリース情報を継続的に確認し、修正版が公開された場合は速やかに更新してください。
HTTP/3通信を受信した直後に発生するサーバープロセスの異常終了や再起動を監視してください。

上記の対策は、元記事の事実に基づき日本の読者向けに実践的な確認手順を独自に補足・整理したものです。

この記事に出てくる専門用語

XRING：XQUICのQPACK処理に存在する脆弱性に、発見者が付けた名称です。遠隔からサーバープロセスを停止させることが可能と報告されています。
XQUIC：Alibabaがオープンソースとして公開している、QUICおよびHTTP/3のクライアント・サーバー実装です。
HTTP/3：QUICを通信基盤として使用するHTTPの新しいバージョンです。主にUDP上で通信します。
QPACK：HTTP/3でヘッダー情報を圧縮する仕組みです。繰り返し送信されるヘッダーを動的テーブルに登録し、通信量を削減します。
リングバッファ：確保したメモリ領域の終端まで到達すると、先頭へ戻ってデータを格納する循環型のバッファです。
整数アンダーフロー：整数の計算結果が型の表現可能な最小値を下回り、意図しない非常に大きな値などに変化する現象です。
境界外書き込み：確保されたメモリ領域の範囲を超えてデータを書き込む問題です。異常終了やデータ破壊につながる可能性があります。
サービス拒否攻撃（DoS）：サーバーやサービスを停止させ、正規の利用者が利用できない状態にする攻撃です。

認証なしでHTTP/3サーバーを停止させるXRING

XRINGは、Alibabaが開発するオープンソースのQUIC・HTTP/3ライブラリ「XQUIC」で確認された、遠隔から悪用可能なサービス拒否の脆弱性です。FoxIOの研究者Sébastien Féry氏が2026年7月8日に技術情報を公開しました。攻撃者は対象サーバーへログインする必要がなく、特別な権限や利用者による操作も必要ありません。インターネットからHTTP/3で接続できる環境では、外部のクライアントが攻撃を実行できる可能性があります。

特に注意が必要なのは、攻撃に不正形式のパケットが必要ない点です。検証では、QPACKの仕様に適合した約260バイトの通信によって、XQUICを使用するサーバープロセスが終了しました。一般的な入力検証では、プロトコル仕様に違反する値や異常に大きいデータを拒否しますが、XRINGで使用される値はいずれもQPACKで許可された範囲内です。そのため、単純に不正パケットだけを遮断する対策では、攻撃を防止できない可能性があります。

影響を受けるのはAlibabaのサービスに限りません。XQUICはオープンソースライブラリであり、ほかのWebサーバー、CDN、ネットワーク製品、独自開発システムにも組み込まれている可能性があります。FoxIOによると、AlibabaのNginxベースのWebサーバー「Tengine」もXQUICを利用してHTTP/3に対応しています。組織がTengineを直接使用していなくても、導入している製品の内部にXQUICが含まれている場合は影響を受ける可能性があるため、ソフトウェア名だけでなく依存ライブラリまで確認する必要があります。

元記事公開時点では、XQUICの初回公開版からv1.9.4までのすべてのリリースが影響を受けると報告されていました。脆弱性を再現する概念実証コードも公開されています。一方、研究者が実証した影響はサーバープロセスのクラッシュであり、任意コード実行までは確認されていません。また、実際の攻撃で悪用された事例も報告されていません。ただし、少量の通信を送るだけで公開サービスを停止させられる可能性があるため、可用性が重要なWebサービスでは早急な確認が必要です。

1行の変数誤りが巨大なメモリコピーを発生

XRINGは、HTTP/3のヘッダー圧縮で使用されるQPACKの動的テーブルを、XQUICがメモリ上で管理する処理に存在します。QPACKでは、user-agentなど繰り返し利用されるヘッダー情報を動的テーブルへ登録し、以後は短い参照番号で送信できます。クライアントは専用のエンコーダーストリームを通じて、テーブルへのデータ追加、古い情報の削除、容量の変更などをサーバーへ指示します。

XQUICは、この動的テーブルのデータをリングバッファと呼ばれる循環型のメモリ領域に保存します。データがバッファの末尾まで到達すると、残りのデータを先頭側へ回り込ませて保存する仕組みです。クライアントからテーブル容量を拡張する指示を受けると、XQUICはより大きなバッファを確保し、古いバッファに保存されていたデータを新しい領域へコピーします。

問題は、データがバッファの終端をまたいで保存されている特定の状態で発生します。本来、古いバッファの末尾に残っているデータ量は、古いバッファの容量を使って計算しなければなりません。しかし、該当する処理では新しく確保する大きなバッファの容量が使用されていました。この1つの変数の取り違えによって、実際よりも大きなデータが残っていると誤って計算されます。

研究者が示した例では、64バイトの動的テーブルで書き込み位置を末尾付近まで進めた後、容量を65バイトへ変更します。XQUICは実際には6バイトしか存在しない末尾データを、70バイトあると誤認します。この誤った値が後続のコピーサイズ計算に使用されると、符号なし整数型のsize_tでアンダーフローが発生し、極端に大きな値へ変化します。その結果、memcpyが確保されたメモリの範囲を超えて読み書きし、サーバープロセスが異常終了します。

FoxIOがUbuntu 26.04上で実施した検証では、glibcの_FORTIFY_SOURCE=2が異常なコピーサイズを検知し、プロセスを強制終了しました。この保護機能がない環境では、古いバッファから新しいバッファの終端を越えてデータが書き込まれると報告されています。ただし、研究者はクラッシュより先の悪用可能性を検証しておらず、任意コード実行が可能であるとは確認されていません。現時点では、実証済みの影響をサービス拒否として扱うことが適切です。

国内組織が確認すべき構成と暫定対策

国内組織が最初に確認すべきなのは、インターネットに公開しているシステムでXQUICを使用しているかどうかです。XQUICを直接導入した記憶がなくても、Tengine、CDN、通信ミドルウェア、組み込み製品などの内部コンポーネントとして含まれている可能性があります。ソフトウェア資産管理情報、SBOM、パッケージ一覧、ビルド設定、ベンダーへの問い合わせなどを通じて、XQUICの有無とバージョンを確認する必要があります。

XQUICが含まれている場合は、対象サービスがHTTP/3を外部へ提供しているかを確認します。さらに、QPACKの動的テーブル容量を示すSETTINGS_QPACK_MAX_TABLE_CAPACITYが0より大きい値に設定されているかを調査してください。元記事では、XQUICが標準で16KiBの動的テーブル上限を通知すると説明されています。攻撃で使用された容量変更は64バイトから65バイトであり、標準の上限を大きく下回るため、単純に最大容量を小さくするだけでは十分な対策にならない可能性があります。

修正版が利用できない場合の暫定対策として、研究者はSETTINGS_QPACK_MAX_TABLE_CAPACITYを0に設定する方法を示しています。この設定により、問題が存在するQPACKの動的テーブル機能が無効化されます。設定変更ができない場合や、利用製品から該当項目を制御できない場合は、HTTP/3そのものを無効化し、HTTP/2またはHTTP/1.1でサービスを提供する方法が挙げられています。

設定変更を行う際は、検証環境でサービスへの影響を確認したうえで本番環境へ反映することが重要です。また、Webサーバープロセスの突然の終了、短時間で繰り返される再起動、HTTP/3接続直後の異常終了なども監視対象になります。ただし、プロセスを自動再起動するだけでは脆弱性自体は解消されず、同じ通信を受信するたびに停止させられる可能性があります。

元記事が公開された2026年7月10日時点では、XRINGにCVE番号とCVSSスコアは割り当てられておらず、修正版も提供されていませんでした。CVEが存在しない脆弱性は、一般的な脆弱性管理製品や自動スキャンで検出されない場合があります。そのため、CVE番号の有無だけで対応優先度を判断せず、XQUICの利用状況、HTTP/3の公開範囲、サービス停止時の業務影響を踏まえて、暫定対策を判断する必要があります。

参考文献・記事一覧

投稿者プロフィール

CyberCrew（サイバークルー）: CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。

■ 情報セキュリティサービス台帳登録事業者

■ セキュリティコンテスト受賞歴
CTF国際大会世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10

■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）