CVE-2026-63075

Sorun özeti: OpenSSL, ACK-yalnızca yanıtları onaylamadan sürekli olarak ack-uyaran paketler gönderen bir eşten gelen QUIC trafiğini işlediğinde, QUIC yığını bağlantı süresi boyunca ACK-yalnızca paket meta verilerini tutabilir. Etki özeti: Bir QUIC el sıkışmasını tamamlayabilen uzak bir eş, özellikle sürekli trafik veya çok sayıda eşzamanlı QUIC bağlantısı ile bellek tükenmesi yoluyla Hizmet Reddi'ne yol açabilecek bağlantı kapsamlı bellek artışına neden olabilir. CWE: CWE-770: Sınırlandırma veya Kısıtlama Olmadan Kaynak Tahsisi Açıklama: OpenSSL QUIC yığını bir ACK-yalnızca paket gönderdiğinde, QUIC protokolü gereği eşin bu ACK-yalnızca paketi onaylama zorunluluğu yoktur (yani paket kendisi ack-uyaran değildir). Ancak, OpenSSL uygulaması buna rağmen ACK çerçeveleri hakkındaki meta verileri saklar. Bu durum tek başına sorun teşkil etmez; fakat kötü niyetli bir eş bağlantı kurup ardından OpenSSL uygulama eşini ACK-yalnızca paketler göndermeye zorladığında (örneğin, çok sayıda PING çerçevesi göndererek) ve daha sonra meşru veriler gibi ack-uyaran veriler için sonraki tüm onayları (ack) beklettiğinde, söz konusu kötü niyetli eş OpenSSL eşinde uygunsuz bellek artışına neden olarak potansiyel olarak bir Hizmet Reddi'ne yol açabilir. Çözüm, ACK-yalnızca paket meta verilerinin kendisini gerçekten saklamadan, paket geçmişlerinin yüksek ve düşük su seviyelerinde (high and low watermark) ACK-yalnızca paketin iletiminin hesaba katılmasını sağlamaktır. FIPS etkisi: yok QUIC kodu FIPS modül sınırının dışında olduğu için OpenSSL FIPS modülü etkilenmemiştir.