CVE-2021-21294

Http4s (http4s-blaze-server), HTTP xidmətləri üçün minimal və idiomatik Scala interfeysidir. 0.21.17, 0.22.0-M2 və 1.0.0-M14 versiyalarından əvvəlki Http4s versiyalarında xidmətdən imtinaya (denial-of-service) səbəb ola biləcək zəiflik mövcuddur. http4s-blaze-server-in əsasında dayanan Blaze-core kitabxanası öz selektor hovuzunda bağlantıları məhdudiyyətsiz şəkildə qəbul edir. Gələn bağlantılar hələ də qəbul edildiyi və məhdudiyyətsiz növbəyə əlavə olunduğu üçün bu, cari sorğu yükünü idarə edə bilməyən xidmətlərdə performansın daha da pisləşməsinə səbəb olur. Hər bir bağlantı soket tutacağı (socket handle) ayırır ki, bu da ƏMƏL-in məhdud resurslarını tükədir. Bu, həmçinin uğursuz bağlantıların aşkarlanması əsasında işləyən yuxarı səviyyəli dövrə kəsicilərini (circuit breakers) çaşa bilər. http4s açıq bağlantıları məhdudlaşdırmaq üçün ümumi "MaxActiveRequests" middleware mexanizmini təmin edir, lakin bu, Blaze qəbul döngüsünün daxilində, bağlantı qəbul edildikdən və soket açıldıqdan sonra tətbiq edilir. Beləliklə, limit yalnız eyni vaxtda emal edilə bilən bağlantıların sayını məhdudlaşdırır, açıq saxlanıla bilən bağlantıların sayını yox. 0.21.17, 0.22.0-M2 və 1.0.0-M14 versiyalarında `BlazeServerBuilder`-ə standart dəyəri 1024 olan yeni "maxConnections" xassəsi əlavə edilmişdir. Dəyərin mənfi ədəd kimi təyin edilməsi məhdudiyyətsiz davranışı bərpa edir, lakin bu şiddətlə tövsiyə edilmir. NIO2 backend-i `maxConnections` parametrini nəzərə almır. Onun istifadəsi artıq http4s-0.21-də köhnəlmiş (deprecated) hesab olunur və http4s-0.22-dən başlayaraq bu seçim tamamilə silinib. İstinad verilmiş GHSA-xhv5-w9c5-2r2w GitHub Məsləhətində bir neçə mümkün alternativ həll yolu təsvir edilmişdir.