CVE-2026-16028

Perl için Protocol::HTTP2 1.14 öncesi sürümler, stream_state fonksiyonunun bağlantı akış tablosundan hiçbir zaman kaldırmadığı kapatılmış akışlar aracılığıyla bellek tükenmesine izin verir. Bir akış CLOSED durumuna ulaştığında, stream_state eşzamanlılık yuvasını iade eder ve akışın çoğu anahtarını temizler; ancak girişin kendisi bağlantı akış tablosunda kalır ve dağıtımda bunu kaldıran herhangi bir işlem yoktur. Akış tanımlayıcıları monoton olarak arttığından, bir uç nokta tek bir bağlantı üzerinde süresiz olarak akışlar açıp kapatabilir ve her kapatma işlemi, bağlantının ömrü boyunca tutulan kalıntı bir giriş bırakır. SETTINGS_MAX_CONCURRENT_STREAMS bunu sınırlamaz. Bu ayar, aynı anda kaç akışın aktif olduğunu sınırlar ve uygulanır; oysa büyüme, sınırın zaten serbest bıraktığı akışlardan oluşur, bu nedenle eşzamanlılık hiçbir zaman biri aşmasa bile birikim gerçekleşir. İstemci de aynı tabloyu tutar ve kötü niyetli bir sunucuya karşı aynı şekilde büyür. Bu modül üzerine kurulu bir sunucuda yapılan ölçümlerde, ağ üzerinden iletilen yaklaşık 19 bayt için kapatılan akış başına yaklaşık 920 bayt tutulmaktadır; böylece tek bir bağlantıdaki 100.000 ardışık akış, sunucu yerleşik belleğini yaklaşık 88 MiB artırır. Söz konusu akışlar, uygulamanın kabul ettiği ve tamamladığı sıradan isteklerdir.