CVE-2026-10725
Açıklama
Perl için Protocol::HTTP2'nin 1.13 öncesi sürümleri HTTP/2 Bomb saldırısına karşı savunmasızdır. Protocol::HTTP2'nin gelen HPACK yolu, başlık listesi boyutu sınırına sahip değildir; bu nedenle küçük bir HTTP/2 isteği büyük sunucu belleğine genişleyebilir ("HTTP/2 bomb"). headers_decode yöntemi, çalışan bir boyut denetimi olmaksızın her dizinli başvuru için tam bir anahtar+değer kopyası oluşturur ve stream_header_block_add yöntemi (1.12 sürümünden itibaren) her CONTINUATION çerçevesini akış başına tampona sınırsız olarak ekler. MAX_HEADER_LIST_SIZE (varsayılan 65536) SETTINGS içinde bildirilir ancak kod çözme sırasında hiçbir zaman dikkate alınmaz. Kod çözücüde ve :limits dışa aktarma etiketinde yer almaz.
Nasıl düzeltilir
- crux protocol\1.13 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| crux protocol\ | \ ≤ v < 1.13 | 1.13 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.