O servidor QUIC do OpenSSL, quando configurado para ignorar a validação de endereço, calcula incorretamente o limite de crédito não validado. Ao processar um datagrama contendo múltiplos pacotes QUIC, o servidor adiciona o comprimento total de todo o datagrama ao limite de crédito para cada pacote individual contido nele. Esse comportamento permite que um invasor remoto falsifique pacotes e engane o servidor, fazendo-o acreditar que mais dados foram recebidos do que a realidade, violando o limite de amplificação da RFC 9000 de três vezes os dados recebidos. Consequentemente, um invasor remoto poderia utilizar o servidor para amplificar um ataque de Negação de Serviço Distribuído (DDoS).