CVE-2026-44433

Quicly, öncelikle H2O HTTP sunucusu içinde kullanılmak üzere tasarlanmış bir IETF QUIC protokolü uygulamasıdır. 8b178e6 commit'inden önce, saldırgan bir eş, ek akış kontrol kredisi elde etmek için izin verilen en büyük ofsette yalnızca tek bir bayt taşıyan bir STREAM çerçevesi gönderebilir ve bu durum belirli koşullar altında Hizmet Reddi'ne (Denial of Service) yol açabilir. Uygulamanın, sırasız gelen tüm verileri depolamak için alınan en büyük ofsete kadar bir alma tamponu hazırladığı varsayıldığında; bu davranış, eşin yalnızca birkaç paket göndermesiyle uygulamanın büyük miktarda bellek ayırmasına ve sonuç olarak belleğin tükenmesine neden olabilir. Alma tamponu tahsis stratejisinin yanı sıra, bu güvenlik açığının ciddiyeti uygulamanın akış eşzamanlılığını nasıl kontrol ettiğine bağlıdır. H2O HTTP sunucusu örneğinde, varsayılan ayarları altında bu hata, bağlantı başına ayrılan maksimum bellek miktarını yaklaşık 4 kat artırmaktadır. Bu sorun 8b178e6 commit'i ile düzeltilmiştir.