CVE-2026-73493

Http4s (http4s-blaze-server), HTTP hizmetleri için minimal ve idiomatik bir Scala arayüzüdür. 0.23.18 ve 1.0.0-M42 sürümlerinden önce, http4s-blaze-server gelen bir WebSocket mesajının parçalarını toplam boyut veya parça sayısı üzerinde herhangi bir sınır olmaksızın birleştiriyordu. WebSocket el sıkışmasını tamamlayan bir istemci, sonlandırılmamış parçalı bir mesaj göndererek sunucu JVM'inde sınırsız yığın büyümesine yol açabilir ve OutOfMemoryError aracılığıyla hizmet reddine neden olabilir. BlazeServerBuilder üzerinden WebSocket rotaları sunan her http4s uygulaması etkilenir, varsayılan olmayan herhangi bir yapılandırma gerekmez ve maxWebSocketBufferSize toplamı sınırlamaz çünkü yalnızca tek tek çerçeveleri sınırlar. FIN bitini hiç ayarlamayan devam çerçeveleri gönderen tek bir bağlantı, sunucuyu yığın tükenene kadar her parçayı arabelleğe almaya zorlar ve JVM'i blaze seçici iş parçacığında OutOfMemoryError ile sonlandırır. Küçük parçalar, çerçeve başına nesne yükü aracılığıyla maliyeti artırır, bu nedenle mütevazı bir ağ baytı hacmi yeterlidir. Bu sorun 0.23.18 ve 1.0.0-M42 sürümlerinde giderilmiştir.