CVE-2022-39294

conduit-hyper, bir conduit uygulamasını hyper sunucusu ile entegre eder. Versiyon 0.4.2 öncesinde `conduit-hyper`, [`hyper::body::to_bytes`](https://docs.rs/hyper/latest/hyper/body/fn.to_bytes.html) fonksiyonunu çağırmadan önce bir isteğin uzunluğu üzerinde herhangi bir sınır kontrolü yapmıyordu. Bir saldırgan, anormal derecede büyük bir `Content-Length` içeren kötü niyetli bir istek göndererek, söz konusu istek için bellek tahsisi başarısız olursa bir paniğe (panic) yol açabilirdi. Versiyon 0.4.2'de `conduit-hyper`, istek başına 128 MiB tutarında dahili bir sınır belirler; aksi takdirde 400 ("Bad Request") durum kodu döndürür. Bu crate, Rust'ın [crates.io](https://crates.io/) uygulamasının bir parçasıdır ancak bu servis, söz konusu kötü niyetli istekleri halihazırda engelleyen mevcut bulut altyapısı nedeniyle etkilenmemiştir. Yeni sınır getirilmiş olsa bile, `conduit-hyper`'ın üretim ortamında kullanılması veya doğrudan genel internete hizmet vermesi önerilmez.