CVE-2021-21293

blaze şəbəkə IO-suna yönəlmiş, asinxron boru kəmərlərinin qurulması üçün nəzərdə tutulmuş bir Scala kitabxanasıdır. Versiya 0.14.15-dən əvvəlki blaze-core işlədən bütün serverlər, məhdudiyyətsiz bağlantı qəbulunun fayl dəstəklərinin tükənməsinə səbəb olduğu zəiflikdən təsirlənir. Blaze, xüsusi bir thread hovuzunda bağlantıları şərtsiz qəbul edir. Gələn bağlantılar hələ də qəbul edildiyi və məhdudiyyətsiz növbəyə əlavə olunduğu üçün bu, cari sorğu yükünü idarə edə bilməyən xidmətlərdə performans azalmasının artmasına səbəb olur. Hər bir bağlantı soket dəstəyi ayırır ki, bu da ƏMƏL-in məhdud resurslarını tükədir. Bu, həmçinin uğursuz bağlantıların aşkarlanması əsasında işləyən daha yüksək səviyyəli dövrə kəsicilərini (circuit breakers) çaşa bilər. Təsirə məruz qalan istifadəçilərin böyük əksəriyyəti bundan http4s-blaze-server <= 0.21.16 tərkibində istifadə edir. http4s açıq bağlantıları məhdudlaşdırmaq üçün mexanizm təmin edir, lakin bu, Blaze qəbul döngüsü daxilində, bağlantı qəbul edildikdən və soket açıldıqdan sonra tətbiq edilir. Beləliklə, limit yalnız eyni vaxtda emal edilə bilən bağlantıların sayını məhdudlaşdırır, açıq saxlanıla bilən bağlantıların sayını yox. Problem "NIO1SocketServerGroup" üçün versiya 0.14.15-də düzəldilib. Defolt dəyəri 512 olan "maxConnections" parametri əlavə edilib. Bu limitdən artıq olan paralel bağlantılar rədd edilir. Tövsiyə olunmasa da, məhdudiyyətsiz rejimdə işlətmək üçün mənfi ədəd təyin edin. "NIO2SocketServerGroup"-da belə bir tənzimləmə yoxdur və o, artıq köhnəlmiş (deprecated) hesab olunur. İstinad verilmiş GHSA-xmw9-q7x9-j5qc GitHub Məsləhətində bir neçə mümkün müvəqqəti həll yolu təsvir edilmişdir.