PT-2026-60600
CVE-2026-44434
·
تاريخ النشر
2026-07-16
·
تاريخ التحديث
2026-08-06
الوصف من
CVSS 3.1
5.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Quicly، الإصدارات السابقة لـ commit dccf5d4
الوصف
يُعتبر Quicly، وهو تطبيق لبروتوكول IETF QUIC يُستخدم بشكل أساسي في خادم HTTP H2O، عرضةً لحقن إعادة الضبط بدون حالة (stateless reset injection) بسبب عدم كفاية التحقق من صحة مدخلات الحزم. على الرغم من أن بروتوكول QUIC يستخدم أنماطًا سرية لمنع هجمات حقن الحزم بعد المصافحة (handshake)، إلا أن Quicly فشل في التحقق مما إذا كانت أي من فتحاته الداخلية الأربع المخصصة لهذه الأنماط تحتوي على مدخلات صالحة. ونظرًا لأن هذه الخانات يتم تهيئتها بقيمة صفر، فإن أي خانة لم يتم ملؤها صراحةً من قِبل الطرف المقابل كانت تُعامل على أنها تحتوي على نمط من الأصفار. وهذا يسمح لمهاجم على المسار (on-path attacker) بإحداث إعادة تعيين بدون حالة وإنهاء اتصالات QUIC.
التوصيات
قم بتحديث Quicly إلى الإصدار الذي يحتوي على الالتزام dccf5d4.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾