Wysoki Oczekuje na analizę

CVE-2026-84784

opublikowano: 29.09.2026, 18:17

modyfikacja: 29.09.2026, 23:27

Ocena CVSS

7.5

Wysoki · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Podsumowanie problemu: złośliwy zdalny element równorzędny może zalać lokalny QUIC
stosuj z ramkami NEW_CONNECTION_ID, unikając sprawdzania limitów
ile identyfikatorów połączeń może używać zdalny stos QUIC.

Podsumowanie wpływu: Lokalny stos QUIC wysyła ramkę RETIRE_CONN_ID
za każdą otrzymaną ramkę NEW_CONNECTION_ID. RETIRE_CONN_ID
ramka jest wysyłana poprzez kolejkę ramek kontrolnych (CFQ). Jeśli pilot
peer również wstrzymuje potwierdzenia ACK, wówczas może wymusić stos lokalny
przydzielić ~400MB (w zależności od opóźnienia ACK).

CWE: CWE-770: Alokacja zasobów bez ograniczeń i dławienia

Opis: RFC 9000, sekcje 5.1.1 i 5.1.2 [1] opisują mechanizm
dzięki któremu zdalny uczestnik może powiadomić lokalny stos QUIC o konieczności zmiany
identyfikator połączenia docelowego (inaczej CID), którego używa stos lokalny
zidentyfikować połączenie u zdalnego partnera. Każdy identyfikator CID jest powiązany
z numerem sekwencyjnym. Przesyłany jest numer kolejny
w ramkach NEW_CONNECTION_ID i RETIRE_CONNECTION_ID w celu identyfikacji CID
który jest albo powiązany z połączeniem, albo wycofywany.

Zdalny uczestnik wysyła ramkę NEW_CONNECTION_ID, aby poinformować o tym stos lokalny
nowy identyfikator CID jest powiązany z istniejącym połączeniem. The
Ramka NEW_CONNECTION_ID zawiera nowy identyfikator CID, jego numer sekwencyjny i
przejść na emeryturę przed numerem. Przed przejściem na emeryturę identyfikuje się istniejące
Identyfikatory CID, które mają zostać wycofane. Lokalny stos QUIC musi wysłać plik
RETIRE_CONNECTION_ID dla każdego docelowego identyfikatora CID, którego numer kolejny
to mniej niż wcześniejsza emerytura. CID zostaje wycofany po
stos lokalny otrzymuje potwierdzenie dla swojej ramki RETIRE_CONNECTION_ID.

Chociaż stos OpenSSL QUIC obsługuje co najwyżej jeden docelowy identyfikator CID
dla każdego połączenia można go oszukać i przetworzyć więcej niż
jedna ramka RETIRE_CONNECTION_ID na połączenie. QUIC OpenSSL
stos obecnie wycofuje docelowy identyfikator CID zaraz po otrzymaniu
NEW_CONNECTION_ID, podczas gdy w rzeczywistości docelowy CID musi
zostać wycofane po odebraniu potwierdzenia dla ramki RETIRE_CONNECTION_ID.
Skorygowanie wadliwej logiki naprawia również wzrost zaległości.

[1] https://datatracker.ietf.org/doc/html/rfc9000#name-issuing-connection-ids

Wpływ FIPS: nie
Nie ma to wpływu na moduł FIPS, ponieważ implementacja QUIC jest poza nim
granica modułu OpenSSL FIPS.

Issue summary: A malicious remote peer may flood the local QUIC
stack with NEW_CONNECTION_ID frames by avoiding a limit check on
how many connection IDs the remote QUIC stack can use.

Impact summary: The local QUIC stack sends a RETIRE_CONN_ID frame
for every NEW_CONNECTION_ID frame it receives. The RETIRE_CONN_ID
frame is dispatched via the Control Frame Queue (CFQ). If the remote
peer also withholds ACKs, then it can force the local stack
to allocate ~400MB (depending on ACK delay).

CWE: CWE-770: Allocation of Resources Without Limits or Throttling

Description: RFC 9000 sections 5.1.1 and 5.1.2 [1] describe the mechanism
by which a remote peer can notify the local QUIC stack to change the
destination connection ID (a.k.a. CID) the local stack uses to
identify the connection at the remote peer. Each CID is associated
with a sequence number. The sequence number is transmitted
in NEW_CONNECTION_ID and RETIRE_CONNECTION_ID frames to identify the CID
which is being either associated with a connection or retired.

The remote peer sends a NEW_CONNECTION_ID frame to let the local stack know
a new CID is being associated with an existing connection. The
NEW_CONNECTION_ID frame carries the new CID, its sequence number, and the
retire-prior-to number. The retire-prior-to identifies existing
CIDs that are to be retired. The local QUIC stack must send a
RETIRE_CONNECTION_ID for every destination CID whose sequence number
is less than retire-prior-to. The CID becomes retired after the
local stack receives an ACK for its RETIRE_CONNECTION_ID frame.

Although the OpenSSL QUIC stack supports at most one destination CID
for every connection, it can be tricked into processing more than
one RETIRE_CONNECTION_ID frame per connection. The OpenSSL QUIC
stack currently retires the destination CID as soon as it receives
the NEW_CONNECTION_ID, while in fact the destination CID must
be retired after an ACK for the RETIRE_CONNECTION_ID frame is received.
Correcting the flawed logic also fixes the backlog growth.

[1] https://datatracker.ietf.org/doc/html/rfc9000#name-issuing-connection-ids

FIPS impact: no
The FIPS module is not affected as the QUIC implementation is outside of
the OpenSSL FIPS module boundary.

>_ Słabości (CWE)

CWE-770

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve