CVE-2026-40898

quic-go, QUIC protokolunun Go dilindəki tətbiqidir. Versiya 0.59.1-dən əvvəl hücumçu, çox sayda unikal sahə adları və/və ya böyük dəyərləri olan geniş treyler sahə bölməsinə dekodlaşan QPACK-kodlu HEADERS freymi göndərməklə quic-go-nun HTTP/3 klient və server tətbiqlərində həddindən artıq yaddaş ayrılmasına səbəb ola bilər. Tətbiq müvafiq `http.Request` və ya `http.Response` üçün `http.Header` yaradır, lakin yalnız QPACK ilə sıxılmış HEADERS freyminin ölçüsünə məhdudiyyətlər tətbiq edir, dekodlaşdırılmış sahə bölməsinə isə yox. Bu, yaddaşın tükənməsinə səbəb ola bilər. Bu, CVE-2025-64702 ilə çox oxşardır. Fərq ondadır ki, bu problemdə hücum vektoru kimi HTTP başlıqlarından deyil, HTTP treylerlərindən istifadə olunur. Qaydalara əməl etməyən və ya zərərli tərəf, həddindən artıq yaddaş ayrılmasını tətikləyərək quic-go-nun HTTP/3 serverlərinə və ya klientlərinə qarşı xidmətdən imtina (DoS) hücumu həyata keçirə bilər ki, bu da potensial olaraq sistemin çökməsinə və ya resursların tükənməsinə gətirib çıxarır. Simmetrik başlıq quruluşu səbəbindən bu həm serverlərə, həm də klientlərə təsir edir. Versiya 0.59.1 treylerlər üçün RFC 9114 dekodlaşdırılmış sahə bölməsi ölçü məhdudiyyətlərini də tətbiq edir. O, QPACK elementlərini inkremental şəkildə dekodlaşdırır və hər elementdən sonra sahə bölməsinin ölçüsünü yoxlayır, əgər bir element limiti aşarsa, axını dayandırır.