CVE-2026-63075

Problemin xülasəsi: OpenSSL, yalnız ACK cavablarını təsdiqləmədən təkrarən ack-eliciting paketləri göndərən qarşı tərəfdən gələn QUIC trafikini emal etdikdə, QUIC steki bağlantının ömrü boyunca yalnız ACK paketlərinin metadata məlumatlarını saxlaya bilər. Təsirin xülasəsi: QUIC əl sıxma prosesini tamamlaya bilən uzaq qarşı tərəf, xüsusilə davamlı trafik və ya çox sayda eyni vaxtda aktiv olan QUIC bağlantıları olduqda, yaddaşın tükənməsi vasitəsilə Xidmətdən İmtina (DoS) ilə nəticələnə biləcək bağlantı miqyaslı yaddaş artımına səbəb ola bilər. CWE: CWE-770: Resursların Limitləmədən və ya Tənzimləmədən Ayırılması Təsvir: OpenSSL QUIC steki yalnız ACK paketi göndərdikdə, QUIC protokoluna görə qarşı tərəfin həmin yalnız ACK paketini təsdiqləməsi tələbi yoxdur (yəni, onun özü ack-eliciting deyil). Lakin OpenSSL implementasiyası buna baxmayaraq ACK freymləri haqqında metadata məlumatlarını saxlayır. Bu, özlüyündə problem yaratmasa da, bədxah bir qarşı tərəf bağlantı yaratdıqda və sonra bağlantını elə idarə etdikdə ki, OpenSSL implementasiyası tərəfindən yalnız ACK paketlərinin göndərilməsi məcburi olsun (məsələn, çox sayda PING freymləri göndərməklə) və daha sonra legitim məlumatlar kimi ack-eliciting məlumatları üçün hər hansı növbəti təsdiqləri (ack) verməkdən imtina etdikdə, sözügedən bədxah qarşı tərəf OpenSSL tərəfində qeyri-adekvat yaddaş artımına səbəb ola bilər ki, bu da potensial olaraq Xidmətdən İmtina (DoS) ilə nəticələnə bilər. Həll yolu, yalnız ACK paketinin metadata məlumatlarının özünü faktiki olaraq saxlamadan, paket tarixçəsinin yüksək və aşağı su markalarında (high and low watermark) yalnız ACK paketinin ötürülməsini nəzərə almağı təmin etməkdir. FIPS təsiri: yoxdur QUIC kodu FIPS modulunun sərhədlərindən kənarda olduğu üçün OpenSSL FIPS modulu bundan təsirlənmir.