CVE-2026-14456

Sorun özeti: Bir OpenSSL QUIC sunucusu (Listener SSL nesnesi), bilinmeyen hedef bağlantı kimlikleri için geçerli QUIC Initial paketlerini işlerken, herhangi bir sınır uygulamadan yeni gelen kanalları ayırabilir ve kuyruğa alabilir. Etki özeti: Çok sayıda Initial paketini uygulamanın bağlantıları kabul etmesinden daha hızlı bir şekilde sunucu dinleyicisine ulaştırabilen uzak bir eş, kanal başına durumu depolamak için ayrılan belleğin herhangi bir sınır olmaksızın büyümesine neden olabilir ve bu da QUIC dinleyicisini kullanılamaz hale getirerek hizmet reddine yol açabilir. CWE: CWE-770: Sınırlama veya Kısıtlama Olmaksızın Kaynak Tahsisi Açıklama: Gelen QUIC paketlerini işleyen fonksiyon, mevcut bir bağlantıyı (QUIC kanalı) bulmak için paket başlığındaki Connection-Id'yi kullanır. Mevcut bir bağlantı bulunamazsa ve paket türü INITIAL ise, fonksiyon paketi yeni bir bağlantı olarak ele alır. Yeni bir kanal nesnesi ayırır ve bunu, yerel uygulama tarafından SSL_accept(3ossl) ile kabul edilmeyi bekleyeceği bir kuyruğa ekler. Uygulama, bu gelen bağlantı isteklerine hizmet vermek için SSL_accept() işlevini yeterince sık çağıramazsa, bu ilk kanal nesnelerinin kapladığı bellek sınırsız olarak büyüyebilir. Sorun, QUIC sunucu uygulamasının eklendiği OpenSSL 3.5 sürümünden beri mevcuttur. Düzeltme, bekleyen bağlantılar için bir sınır getirir. Varsayılan sınır, 256 bekleyen bağlantı (yerel uygulama tarafından kabul edilmeyi bekleyen) olarak ayarlanmıştır. Uygulamalar, SSL_set_value_uint(3ossl) çağırarak varsayılanı değiştirebilir. FIPS etkisi: hayır QUIC uygulaması OpenSSL FIPS modülü sınırının dışında olduğundan FIPS modülü etkilenmez.