CVE-2026-14456

Problemin xülasəsi: OpenSSL QUIC serveri (Listener SSL obyekti) naməlum təyinat bağlantı ID-ləri üçün etibarlı QUIC Initial paketlərini emal edərkən, hər hansı bir məhdudiyyət tətbiq etmədən yeni daxil olan kanallar ayırıb növbəyə düzə bilər. Təsirin xülasəsi: Bir çox Initial paketin tətbiq bağlantıları qəbul etdiyindən daha sürətli şəkildə server dinləyicisinə çatdırılmasını təmin edə bilən uzaq tərəf, kanal başına vəziyyətin saxlanılması üçün ayrılmış yaddaşın limitsiz artmasına səbəb ola bilər ki, bu da potensial olaraq QUIC dinləyicisini əlçatmaz edərək Xidmətdən İmtina (DoS) halına yol aça bilər. CWE: CWE-770: Resursların Məhdudiyyətsiz və ya Tənzimlənmədən Ayrılması Təsvir: Daxil olan QUIC paketlərini idarə edən funksiya mövcud bağlantını (QUIC kanalı) tapmaq üçün paket başlığındakı Connection-Id-dən istifadə edir. Əgər heç bir mövcud bağlantı tapılmazsa və paket tipi INITIAL-dırsa, funksiya paketi yeni bağlantı kimi qəbul edir. O, yeni kanal obyekti ayırır və onu lokal tətbiq tərəfindən SSL_accept(3ossl) vasitəsilə qəbul edilməyi gözlədiyi növbəyə yerləşdirir. Tətbiq bu daxil olan bağlantı sorğularını xidmət etmək üçün kifayət qədər tez-tez SSL_accept() çağıra bilmirsə, bu ilkin kanal obyektləri tərəfindən tutulan yaddaş limitsiz şəkildə artıra bilər. Problem, QUIC server implementasiyası əlavə edildikdən sonra OpenSSL 3.5 versiyasından etibarən mövcuddur. Düzəliş gözləyən bağlantılar üçün limit tətbiq edir. Defolt limit 256 gözləyən bağlantı (lokal tətbiq tərəfindən qəbul edilməyi gözləyən) olaraq təyin edilmişdir. Tətbiqlər SSL_set_value_uint(3ossl) çağıraraq defolt dəyəri dəyişə bilərlər. FIPS təsiri: yoxdur QUIC implementasiyası OpenSSL FIPS modulunun sərhədlərindən kənarda olduğu üçün FIPS modulu bundan təsirlənmir.