CVE-2026-44436

Quicly, öncelikle H2O HTTP sunucusu içinde kullanılmak üzere tasarlanmış bir IETF QUIC protokolü uygulamasıdır. 8b178e6 commit'inden önce Quicly, bağlantı durumu bozulması yoluyla Hizmet Reddi (DoS) saldırısına karşı savunmasızdır. QUIC Değişmezleri'nde (Invariants), bir Bağlantı Kimliği'nin (Connection ID - CID) maksimum uzunluğu 255 bayttır; ancak QUIC versiyon 1 bu maksimumu daha da kısıtlayarak 20 bayta indirmiştir. Quicly, QUIC versiyon 1'i uyguladığından CID tamponları 20 bayt ile sınırlıdır. Bununla birlikte, bilinmeyen QUIC versiyonlarına yanıt verebilmek için paket çözücüsü 255 bayta kadar olan Bağlantı Kimliklerini kabul eder. CID tamponları yalnızca 20 bayt uzunluğunda olduğundan, Quicly bundan daha uzun Bağlantı Kimliklerine sahip QUIC versiyon 1 paketlerini reddetmelidir. Quicly ile birlikte gelen komut satırı aracında bu kontrol mevcuttu, ancak kitaplığın kendisinde böyle bir zorunluluk bulunmuyordu. Sonuç olarak, kendi denetim mekanizmaları olmayan uygulamalar tarafından kullanıldığında, tampon aşımı nedeniyle bağlantı durumu tutarsız hale gelmektedir. Neyseyle ki taşma, tahsis edilen bellek parçası içerisinde kalmaktadır, ancak buna rağmen hata, assertion başarısızlıklarına yol açmaktadır. Bu sorun 8b178e6 commit'i ile düzeltilmiştir.