CVE-2026-44434

Quicly, əsasən H2O HTTP serveri daxilində istifadə üçün nəzərdə tutulmuş IETF QUIC protokolunun tətbiqidir. dccf5d4 commitindən əvvəl Quicly paket girişinin validasiyasının olmaması səbəbindən vəziyyətsiz sıfırlama inyeksiyasına həssas idi. QUIC protokolu əl sıxma tamamlandıqdan sonra paket inyeksiyası hücumlarına davam gətirmək üçün dizayn edilmişdir. Yalnız müəyyən gizli nümunələr daşıyan paketlər vəziyyətsiz sıfırlama kimi qəbul edilir. Quicly hər bağlantı üzrə peer-ə 4-ə qədər belə nümunə paylaşmağa imkan verir. Lakin indiyədək o, gizli nümunələrin saxlanması üçün istifadə etdiyi 4 slotdan hansının etibarlı qeyd ehtiva etdiyini müəyyən edə bilmirdi. Slotlar sıfırla işə salındığından, bu nasazlıq o demək idi ki, peer 4 belə nümunə elan etmədikcə, tamamilə sıfırlardan ibarət nümunə vəziyyətsiz sıfırlama kimi qəbul edilirdi. Nəticədə bu, yolüstü hücumçuya Quicly tərəfindən idarə olunan QUIC bağlantılarını sıfırlamağa imkan verirdi. Bu problem dccf5d4 commiti ilə düzəldilmişdir.