CVE-2024-53259

quic-go, QUIC protokolünün Go dilindeki bir uygulamasıdır. Yol dışı (off-path) bir saldırgan, bir ICMP Packet Too Large paketi enjekte edebilir. Etkilenen quic-go sürümleri IP_PMTUDISC_DO kullandığından, quic-go söz konusu ICMP paketinde belirtilen MTU değerini aşan bir paket göndermeye çalıştığında, çekirdek sendmsg üzerinde bir "mesaj çok büyük" hatası döndürür. Saldırgan, bu değeri 1200 bayttan (QUIC için minimum MTU) daha küçük ayarlayarak bir QUIC bağlantısını kesintiye uğratabilir. Kritik olarak, bu işlem el sıkışmanın tamamlanmasından sonra gerçekleştirilebilir ve böylece uygulama katmanında uygulanmış olabilecek herhangi bir TCP geri dönüş mekanizması (örneğin, birçok tarayıcı QUIC bağlantısı kuramadığında HTTP over TCP'ye geri döner) atlatılabilir. Bir saldırıyı gerçekleştirmek için saldırganın en azından istemcinin IP ve port çiftini bilmesi gerekir. Bu güvenlik açığı 0.48.2 sürümünde giderilmiştir.