مسئله و دامنهٔ اثر
این آسیب‌پذیری از تفاوت بین دو سقف در QUIC ناشی می‌شود: سقف هر جریان و سقف کل اتصال. پشتهٔ متأثر محدودیت جریان را بررسی می‌کند، اما محدودیت مجموع اتصال را به‌درستی اعمال نمی‌کند. در نتیجه طرف مقابل ممکن است حافظهٔ بیشتری از مقدار پیش‌بینی‌شده به سرویس تحمیل کند. پیامد گزارش‌شده مربوط به مصرف منابع و دسترس‌پذیری است.
در طراحی درست، مجاز بودن داده در یک جریان کافی نیست و مجموع جریان‌ها نیز باید در سقف اتصال بماند. نقض این شرط می‌تواند مصرف حافظه را چندین برابر انتظار کند. سازنده برای تنظیمات پیش‌فرض، امکان رسیدن مصرف حافظه به حدود ۱۰۰ مگابایت در هر اتصال را توضیح داده است؛ این عدد سقف عمومی همهٔ محصولات یا ظرفیت ثابت حمله نیست. مقدار واقعی به تنظیمات و رفتار برنامه وابسته است. مسئله خارج از ماژول FIPS و با شدت رسمی Low ثبت شده است.
نسخه‌های متأثر و اصلاح‌شده
رکورد رسمی منتشرشده در ۲۹ سپتامبر ۲۰۲۶، بازه‌های زیر را ثبت کرده است. در هر ردیف، نسخهٔ آغازین شامل و نسخهٔ ستون دوم خارج از بازهٔ متأثر است. این جدول فقط دربارهٔ همین شناسه است؛ امن بودن در برابر تمام آسیب‌پذیری‌ها از آن نتیجه نمی‌شود.
| شروع بازهٔ متأثر، شامل | نسخهٔ اصلاح‌شده، خارج از بازهٔ متأثر |
|---|---|
| 4.0.0 | 4.0.3 |
| 3.6.0 | 3.6.5 |
| 3.5.0 | 3.5.9 |
| 3.4.0 | 3.4.8 |
تشخیص مواجهه در سازمان
تنظیمات تعداد جریان، پنجرهٔ دریافت و محدودیت حافظهٔ هر نمونهٔ سرویس را کنار هم بررسی کنید. اگر برنامه فقط محدودیت هر stream را ثبت می‌کند، برای پایش کل اتصال نیز داده جمع کنید. مشخص کنید QUIC در کدام جزء خاتمه می‌یابد و آن جزء از چه کتابخانه‌ای استفاده می‌کند. بستهٔ OpenSSL نصب‌شده در سیستم لزوماً همان کتابخانهٔ مورد استفادهٔ پراکسی یا برنامهٔ دارای پیوند ایستا نیست.
آزمون و کاهش ریسک
پس از نصب اصلاحیه، بار معمول چندجریانی را آزمایش و مصرف حافظه، تأخیر و خطاهای کنترل جریان را بررسی کنید. سخت‌تر کردن سقف‌ها پیش از ارتقا می‌تواند ظرفیت بار مجاز را کاهش دهد؛ بنابراین باید با الگوی واقعی استفاده سنجیده شود. راه‌حل پایدار اعمال اصلاحیه است. در برنامهٔ تغییر، برای سرویس‌های حیاتی چند نمونه را به‌تدریج ارتقا دهید تا امکان مقایسهٔ سلامت و بازگشت کنترل‌شدهٔ سرویس وجود داشته باشد.
نصب اصلاحیه و تأیید نتیجه
نسخه‌های جدول، مرز اصلاح بالادستی‌اند؛ برای بسته‌های توزیع یا محصولات تجاری، اطلاعیهٔ سازنده را بررسی کنید. کتابخانهٔ بارشده در فرایند، کانتینر یا پیوند ایستا ممکن است با ابزار خط فرمان متفاوت باشد. پس از ارتقای سازگار و بازراه‌اندازی لازم، آزمون اختصاصی همین صفحه را اجرا و نسخهٔ مؤثر و نتیجه را ثبت کنید. شدت Low ارزیابی سازنده است؛ اولویت محلی به مواجهه و اهمیت سرویس بستگی دارد. این صفحه ادعای بهره‌برداری فعال یا حضور در KEV ندارد. توصیه‌های اجرایی پیشنهاد تحریریه‌اند.
منابع و تصویر
- رکورد رسمی CVE-2026-75804 در برنامهٔ CVE
- دادهٔ ساخت‌یافتهٔ CNA در مخزن رسمی CVE Program
- اطلاعیهٔ OpenSSL، ۲۹ سپتامبر ۲۰۲۶
تصویر همراه، نشان رسمی پروژهٔ OpenSSL از مخزن وب همان پروژه است و برای معرفی محصول استفاده می‌شود؛ تصویر رخداد امنیتی یا تأیید این مطلب توسط سازنده نیست. بازبینی این صفحه: ۲۷ اکتبر ۲۰۲۶.
