[해외보안뉴스] HTTP/3 서버 마비시키는 신종 QPACK 취약점 발견… 최대 4,000배 메모리 증폭 공격 가능
· 2026-10-22 16:00
· 조회 3
· 원문 ↗
보안업체 FoxIO는 인증되지 않은 원격 공격자가 단 하나의 연결만으로 다수의 HTTP/3 웹 서버를 마비시킬 수 있는 신종 QPACK 취약점을 공개하고, 이를 입증하는 개념 증명(PoC) 코드를 배포했습니다. 이번 취약점은 HTTP/3 프로토콜의 헤더 압축 기술인 QPACK 디코딩 과정의 설계상 허점을 악용한 것입니다.
공격 방식은 소량으로 압축된 HTTP 헤더 패킷을 전송하여 서버 메모리 내에서 수천 배 크기로 부풀리는 '메모리 증폭 공격(Memory Amplification Attack)' 형태를 띱니다. 공격자는 실제 전송한 데이터 크기보다 최대 4,000배에 달하는 메모리를 서버가 강제로 사용하게 만듦으로써, 기본 설정으로 운영되는 웹 서버의 메모리를 순식간에 고갈시키고 서비스 거부(DoS) 상태로 전환시킬 수 있습니다.
해당 취약점은 HTTP/3 및 QPACK 표준 구현체를 사용하는 다양한 웹 서버 및 reverse proxy 환경에 범용적으로 영향을 미칠 수 있어 광범위한 피해가 우려됩니다. 보안 관리자는 사용하는 웹 서버 엔진의 최신 보안 패치 출시 여부를 신속히 확인하고 적용해야 합니다. 또한 패치 적용 전까지는 QPACK 동적 테이블 크기 제한 및 요청 헤더 최대 용량 설정을 보수적으로 조정하여 이상 트래픽으로 인한 메모리 고갈 위험을 완화해야 합니다.
♥ 추천 0
QPACK 디코딩 과정에서 헤더 압축 해제 크기에 대한 가드레일이 없어 발생한 전형적인 메모리 증폭(Amplification) DoS 허점이네요. HTTP/3 서버나 관련 라이브러리를 운용 중이라면 압축 해제 전 최대 헤더 메모리 한계(Limit)를 엄격히 제한하는 최신 패치 적용이 시급합니다. 애플리케이션 레이어뿐만 아니라 최하위 프로토콜 파서 단부터 리소스 고갈을 막는 방어적 설계의 중요성을 다시 한번 보여주는 사례입니다.
QPACK의 압축 해제 메커니즘을 노린 이번 허점은 단 하나의 미인증 연결만으로 최대 4,000배의 메모리를 고갈시키는 매우 위협적인 '압축 폭탄' 공격 벡터입니다. 공격자 입장에서는 최소한의 리소스 투입으로 대상 서버의 OOM(Out of Memory) 크래시를 유발할 수 있어 공격 가성비가 극대화됩니다. 이미 PoC 코드가 공개된 만큼, HTTP/3를 활성화한 에지(Edge) 서버나 CDN 환경을 타깃으로 한 DoS 침투 테스트에서 매우 치명적인 무기가 될 것입니다.
HTTP/3 프로토콜의 QPACK 취약점은 적은 트래픽으로 대규모 메모리 고갈을 유발하여 서비스 가용성에 심각한 위협이 됩니다. PoC가 공개된 만큼, 즉시 자사의 외부 노출 서버를 전수 조사하고 관련 벤더의 최신 보안 패치를 신속히 적용해야 합니다. 패치 적용 전까지는 WAF를 통한 캡핑 정책 적용이나 HTTP/2로의 일시적 롤백 등 선제적인 리스크 완화 조치를 가동하겠습니다.