CVE-2026-73493

Http4s (http4s-blaze-server) HTTP xidmətləri üçün minimal və idiomatik Scala interfeysidir. 0.23.18 və 1.0.0-M42 versiyalarından əvvəl http4s-blaze-server daxil olan WebSocket mesajının fraqmentlərini ümumi ölçü və ya fraqment sayı üzrə heç bir məhdudiyyət olmadan aqreqasiya edir. WebSocket əlini sıxma (handshake) prosesini tamamlayan müştəri, sonlandırılmamış fraqmentli mesaj göndərə bilər və server JVM-də sınırsız yığın (heap) artımına səbəb ola bilər ki, bu da OutOfMemoryError vasitəsilə xidmətdən imtinaya (DoS) gətirib çıxarır. BlazeServerBuilder vasitəsilə WebSocket marşrutlarını təqdim edən bütün http4s tətbiqləri buna məruz qalır, standartdan kənar konfiqurasiya tələb olunmur və maxWebSocketBufferSize aqreqatı məhdudlaşdırmır, çünki o yalnız fərdi freymləri məhdudlaşdırır. Heç vaxt FIN təyin etməyən davamlılıq freymləri göndərən tək bir bağlantı, serveri hər bir fraqmenti yığın tükənənə qədər buferləşdirməyə məcbur edir və blaze selektor axınında OutOfMemoryError ilə JVM-i dayandırır. Kiçik fraqmentlər hər freym başına düşən obyekt xərcləri ilə maliyyəni artırdığı üçün az miqdarda şəbəkə baytı kifayətdir. Bu problem 0.23.18 və 1.0.0-M42 versiyalarında düzəldilmişdir.