Possible Denial of Service Vulnerability in Rack Header Parsing
13Vexday Risk Score
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
ssvc Trackcvss 5.3epss 2.0%
probabilidade de exploração
2.0%top 21% das CVEs
exploração observada
nãonenhuma fonte reporta
Em resumo
O Rack, um framework Ruby para servidores web, tem uma vulnerabilidade onde headers HTTP especialmente construídos (Accept e Forwarded) podem desacelerar a análise de headers significativamente, causando uma possível negação de serviço que deixa o servidor sem responder.
Detalhe técnico
Uma falha de negação de serviço por expressão regular (ReDoS) na lógica de análise de headers do Rack (CWE-1333) permite que atacantes criem headers Accept ou Forwarded maliciosos que causam retrocesso exponencial durante o processamento. Ruby 3.2+ inclui proteções mitigando isso; versões vulneráveis exigem atualização para 2.0.9.4, 2.1.4.4, 2.2.8.1 ou 3.0.9.1.
Resumo gerado e traduzido por IA a partir da descrição oficial.
Rack is a modular Ruby web server interface. Carefully crafted headers can cause header parsing in Rack to take longer than expected resulting in a possible denial of service issue. Accept and Forwarded headers are impacted. Ruby 3.2 has mitigations for this problem, so Rack applications using Ruby 3.2 or newer are unaffected. This vulnerability is fixed in 2.0.9.4, 2.1.4.4, 2.2.8.1, and 3.0.9.1.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
Produtos afetados
rack · rackReferências
https://discuss.rubyonrails.org/t/possible-denial-of-service-vulnerability-in-rack-header-parsing/84942https://github.com/rack/rack/commit/30b8e39a578b25d4bdcc082c1c52c6f164b59716https://github.com/rack/rack/commit/6c5d90bdcec0949f7ba06db62fb740dab394b582https://github.com/rack/rack/commit/a227cd793778c7c3a827d32808058571569cda6fhttps://github.com/rack/rack/commit/e4c117749ba24a66f8ec5a08eddf68deeb425ccdhttps://github.com/rack/rack/security/advisories/GHSA-54rr-7fvw-6x8fhttps://github.com/rubysec/ruby-advisory-db/blob/master/gems/rack/CVE-2024-26146.ymlhttps://lists.debian.org/debian-lts-announce/2024/04/msg00022.htmlhttps://security.netapp.com/advisory/ntap-20240510-0006/