CVE-2022-35922

Rust-WebSocket, Rust dilində yazılmış bir WebSocket (RFC6455) kitabxanasıdır. 0.26.5 versiyasından əvvəlki versiyalarda etibarsız websocket bağlantıları klient və ya serverdə yaddaşın dolması (OOM) səbəbindən prosesin dayandırılmasına səbəb ola bilər. Problemin kök səbəbi dataframe analizinin aparılması zamanı baş verir. Təsirə məruz qalan versiyalar, etibarsız mənbədən gələ bilən bəyan edilmiş dataframe ölçüsünə əsasən bufer ayırır. `Vec::with_capacity` funksiyası yaddaş ayırmaqda uğursuz olduqda, standart Rust allokatoru cari prosesi dayandıraraq bütün thread-ləri sonlandırır. Bu, yalnız sinxron (non-Tokio) tətbiqə təsir edir. Asinxron versiya da yaddaşı məhdudlaşdırmır, lakin `with_capacity`-dən istifadə etmir, buna görə də DoS hücumu yalnız həddindən artıq böyük dataframe və ya mesaj üçün baytlar hücumçu tərəfindən faktiki olaraq çatdırıldıqda baş verə bilər. Çökmələr, standart dataframe ölçü limitlərinin tətbiqi ilə 0.26.5 versiyasında düzəldilmişdir. Təsirə məruz qalan istifadəçilərə bu versiyaya yeniləmək tövsiyə olunur. Yeniləmə imkanı olmayan istifadəçilərə websocket trafikini kənardan filtrləmək və ya yalnız etibarlı trafiki qəbul etmək tövsiyə edilir.