CVE-2026-105297

Xülasə Versiya 0.8.1-dən əvvəl, Pingora-nın HTTP/2 serveri, tətbiq özünün 16 MiB dekodlaşdırılmış başlıq siyahısı ölçüsünü və eyni vaxtda aktiv axınlar üçün heç bir məhdudiyyət təyin etmədiyi halda, h2 crate-nin standart limitlərindən istifadə edirdi. Uzaqdakı autentifikasiya olunmamış müştəri, demək olar ki, boş olan başlığa 1 baytlıq HPACK istinadları göndərə bilər ki, bu da serverin bir bağlantıda limitsiz sayda axın boyunca hər axın üçün yüz minlərlə başlıq sahəsi ayırmasına səbəb olur və həmin axınları açıq saxlamaq üçün HTTP/2 axın idarəetməsindən istifadə edir. Bu, yaddaşın tükənməsinə və Pingora prosesinin performansının aşağı düşməsinə və ya dayanmasına səbəb ola bilər. Təsir max_header_list_size və max_concurrent_streams parametrlərini açıq şəkildə təyin etmədən HTTP/2 (h2 və ya h2c) bağlantılarını sonlandıran hər hansı Pingora xidmətinə qarşı uzaqdan, autentifikasiya olunmamış xidmətdən imtina (DoS) hücumu mümkündür. Hesabat verən şəxs göstərmişdir ki, tək bir bağlantı ilə 2 GiB yaddaş limiti olan Pingora prosesi OOM-killed vasitəsilə dayandırıla bilər. Qeyd edin ki, Cloudflare CDN müştəriləri bundan təsirlənməmişdir, çünki Cloudflare-də daxili Pingora xidmətlərinin HTTP/2 müştəriləri yoxdur. Yüngülləşdirmə: * pingora 0.8.1 və ya daha yeni versiyaya yeniləyin (düzəliş: https://github.com/cloudflare/pingora/commit/d193c8d49b8b7c1c1ede93183759caa4f6906bbd). Heç bir H2Options təqdim edilmədikdə, Pingora artıq 64 KiB dekodlaşdırılmış başlıq siyahısı limitini və bağlantı başına maksimum 100 eyni vaxtda aktiv axını elan edir və tətbiq edir. * Öz H2Options parametrlerini təqdim edən tətbiqlər bu standartlarla əhatə olunmur və max_header_list_size və max_concurrent_streams parametrlərini açıq şəkildə təyin etməlidirlər (bu, 0.8.1-dən əvvəlki versiyalarda da işləyir) və ya 0.8.1 və daha yeni versiyalarda pingora_core::protocols::http::v2::server::default_h2_options() funksiyasından başlamalıdırlar. H2Options::default() bu limitləri daxil etmir.